文 | 深圳市安络科技有限公司董事长 谢朝霞
随着人工智能与开源生态的深度融合，追求“零漏洞”的传统安全理念在理论层面的适配性正面临新的挑战。当前，国产软硬件在漏洞研究领域的探索深度与市场地位尚存在一定提升空间。这表明，我们需要进一步完善相关领域的漏洞治理机制。值得注意的是，在潜在漏洞总量相对有限的前提下，已披露漏洞的数量并非衡量安全性的唯一标准。“带洞生存”理念基于系统必然存在相当数量潜在漏洞的客观现实，主张通过持续扩大市场占有率与不断提升漏洞研究水平相结合的方式，系统性增强国产产品的动态防御能力。这一思路或可为现阶段国产软硬件漏洞治理提供实践参考。
一、正确认识技术创新中的漏洞
国家信息安全漏洞共享平台（CNVD）统计数据显示，2024年我国国产软件漏洞披露量达到13789例，较上一年同期显著增长230%，其中，高危级别漏洞占比达38%。这一数据特征清晰地揭示了技术创新进程与安全风险显现之间的内在关联规律。
统筹发展和安全，需要辩证地看待漏洞与技术创新的关系。当前，我们在漏洞认知方面主要存在三个层面的局限性：一是认知层面的局限，往往将漏洞简单地归结为技术问题；二是本质认识层面的不足，忽视漏洞与创新演进之间的动态关系；三是方法论层面的欠缺，缺乏能够实现动态平衡的系统性治理框架。
根据复杂适应系统理论，软件系统具有典型的“涌现”特性，其行为特征难以通过单个组件的简单叠加来预测。从全球通用漏洞库的统计数据来看，高危级别安全漏洞的平均修复周期长达72天，而新漏洞的日均产生数量达到147个。这一数据对比反映出在技术快速创新阶段，漏洞的产生速度往往超过修补速度。
然而，我们也应看到技术发展的积极面。2024年度全球软件漏洞密度研究报告表明，平均每万行代码中存在的漏洞数量为23.7个，但这一数字较十年前的35.6个已显著下降。这表明，随着开发工具的进步、安全编码规范的完善、自动化测试技术的应用，漏洞密度呈现出逐步下降的趋势。因此，漏洞更应被视为技术创新特定阶段的客观现象，而非永恒不变的必然结果。随着我国技术创新能力的持续提升和安全治理体系的不断完善，漏洞将日益得到有效治理，安全与发展也将实现更高水平的动态平衡。
二、漏洞繁荣度：衡量国产软硬件发展水平的重要指标
漏洞的活跃程度与质量水平，实际上反映了整个软件产业的技术状态和发展活力。漏洞数量的不足往往暗示着国产软硬件创新动力的欠缺，而适度的漏洞繁荣则标志着技术创新的密集发生和产品的快速迭代改进，可以从以下四个关键维度系统评估漏洞的繁荣程度（如图所示）。
图 漏洞繁荣指数与技术成熟度关系（雷达图）
（一）漏洞数量维度
根据近两年权威部门披露的漏洞统计报告，2024年，我国新增收录漏洞43757个，其中，涉及国产软硬件的漏洞为706个；2025年上半年新增漏洞23351个，国产软硬件漏洞为218个。从这些数据可以看出，国产软硬件新增漏洞数量仅约占全国漏洞总量的1%，且这一比例并未呈现出明显的上升趋势。
当前，国产软硬件漏洞数量与其在党政办公、金融、能源等关键领域的市场占有率持续攀升形成反差，这一现象或折射出其在漏洞发现和研究投入方面存在不足，亦或与产品技术特性密切相关。具体而言，部分国产软硬件产品因技术迭代周期较短，攻击面相对有限，加之采用了不同于主流产品的技术架构，上述因素都可能影响漏洞的显现规律。但无论成因如何，这一数据特征均提示亟须加强该领域的漏洞研究能力建设，以便更全面地了解和评估国产软硬件的安全状况。
（二）漏洞质量维度
从安全实践来看，如果国产软硬件发生导致勒索病毒大规模爆发、引发重大影响的高级持续性威胁（APT）攻击事件，往往意味着出现了CVSS评分在9.0分以上的关键漏洞。这类漏洞通常具备三个典型特征：影响范围广泛、存在可用的概念验证代码、能够获取系统高级权限。这类具有战略价值的关键漏洞通常只占漏洞总数的1%左右。目前，公开报道中由国产软硬件漏洞直接引发的重大安全事件相对较少，这也在一定程度上反映出针对国产软硬件的高质量漏洞研究还处于起步阶段。未来，这类高质量漏洞的出现及其有效处置，将标志着国产软硬件漏洞研究水平迈上新的台阶。
（三）研究群体维度
目前，专注于国产软硬件漏洞研究的技术人员群体规模相对有限，主要分布在三个领域：国产软硬件厂商自身的网络安全团队、专注于攻防演练业务的专业安全公司，以及国内少数的独立安全研究人员。根据行业估算，当前该群体总规模在500人以内。现有国产软硬件漏洞在数量和质量方面的表现，也从侧面印证了研究群体规模有限、研究覆盖不够全面的现状。
（四）对手层级维度
在漏洞研究和利用的生态中，从自由研究人员、企业安全团队到国家层面的漏洞研究力量，不同层级的“对手”关注度直接反映了软件产品的重要程度。当前，国家级漏洞攻防正日益成为网络空间高水平对抗的主要形式。国际技术发达国家的国家级漏洞研究组织是否开始对我国产软硬件漏洞的研究和利用，是衡量国产软硬件重要性和发展高度的关键指标。
三、“带洞生存”的理论基础与核心机制
“带洞生存”理念的提出建立在坚实的理论根基之上，其必要性首先需要通过多学科视角进行概念澄清与学理论证，明确为何这种动态治理范式能够成为应对系统性安全挑战的有效路径。
（一）概念界定与理论视角
“带洞生存”是一种在承认安全漏洞客观存在的前提下，通过构建动态防御体系实现系统安全的治理范式。其核心要义并非消极地接受风险，而是主动将漏洞的发现、披露、修复过程转化为提升系统安全能力的持续动力源。
从复杂系统理论来看，现代软硬件系统已发展为由海量代码、多层架构、异构组件构成的复杂适应系统。这类系统的整体行为无法通过简单叠加各组成部分的特性来预测，漏洞的产生具有不确定性和随机性。因此，追求“零漏洞”的静态安全目标在理论上难以实现，必须转向动态平衡的治理思路。
从风险治理理论来看，现代风险管理已从“风险消除”转向“风险控制”。“带洞生存”理念体现了风险接受、风险缓解与风险转移的综合策略：接受漏洞在特定阶段必然存在的现实，通过快速响应机制缓解漏洞被利用的危害，通过体系化防护将单点漏洞风险分散至整体安全架构中。
从弹性安全（Security Resilience）理论来看，系统安全能力不仅体现在防止攻击的能力，更体现在遭受攻击后的快速恢复能力和持续学习能力。“带洞生存”强调的正是这种弹性：在漏洞被发现和利用的过程中，系统能够快速响应、有效修复、总结经验，并将这些经验转化为下一轮防御的知识储备。
（二）核心机制：正向反馈循环克服攻击者优势
传统安全理念面临的根本困境是“攻击者优势”：攻击者只需发现一个漏洞即可突破防御，而防御者必须封堵所有漏洞才能保证安全。这种不对称性使得防御方始终处于被动地位。“带洞生存”理念提倡通过构建“披露—修复—学习—迭代”的正向反馈循环，系统性地削弱这种攻击者优势。
第一阶段：广泛披露（扩大防御视野）。通过建立开放透明的漏洞披露机制，动员更广泛的安全研究力量参与漏洞发现。当漏洞披露量从每年数百个增长至数千个时，防御方对系统安全状况的认知将从“盲人摸象”转向“全景视图”，大幅减少攻防双方的信息不对称程度。
第二阶段：快速修复（压缩攻击窗口）。建立高效的漏洞响应机制，将漏洞从披露到修复的周期从平均72天压缩至30天甚至更短。这意味着攻击者可利用的时间窗口大幅缩短，即使发现了漏洞，其利用价值也会快速衰减。
第三阶段：体系学习（积累防御知识）。对每一次漏洞事件进行深度分析，提取共性特征，形成可复用的检测规则和防护模式。当防御方处理的漏洞样本从百例级别增长至万例级别时，其对漏洞形成机理、攻击手法的理解将产生质的飞跃。
第四阶段：能力迭代（形成动态优势）。将学习成果转化为自动化检测工具、安全编码规范、架构设计原则，从源头上降低新漏洞的产生概率。同时，基于历史漏洞数据训练的智能防御系统，能够对未知漏洞的攻击行为进行模式识别和主动拦截。
这一循环的关键在于形成“规模效应”：处理的漏洞越多，积累的防御知识越丰富，系统的安全能力提升越快。当这种正向反馈循环运转起来后，防御方将从被动应对单个漏洞，转向基于海量样本的主动防御，从而在整体态势上扭转“攻击者优势”。
（三）目标定位与基本原则
“带洞生存”的核心目标是在承认漏洞客观存在的前提下，构建具有自适应能力的动态安全体系，实现以下三个层次的目标。
短期目标：建立完善的漏洞发现与披露机制，使国产软硬件的漏洞披露量与其市场占有率相匹配，全面掌握安全态势。
中期目标：构建高效的漏洞响应与修复体系，将高危漏洞的可利用窗口期压缩至行业领先水平，最大限度降低漏洞被恶意利用的风险。
长期目标：形成基于持续学习的安全能力迭代机制，使国产软硬件的整体安全水平随着使用规模的扩大和漏洞治理的深化呈螺旋式上升，最终建立起具有国际竞争力的安全生态。
为实现上述目标，“带洞生存”应遵循以下五个基本原则。
透明性原则：建立开放的漏洞披露机制，鼓励多方参与漏洞发现，避免“鸵鸟心态”。漏洞的公开不是示弱，而是改进的起点。
协同性原则：构建产学研用多方协同的漏洞治理体系，形成“发现—上报—修复—防护”的完整闭环，避免碎片化治理。
动态性原则：将安全能力建设从静态防御转向动态演化，通过持续的攻防演练和实战验证不断提升防御水平。
体系性原则：从单点漏洞修复转向整体安全架构优化，通过纵深防御、冗余设计等手段，确保单个漏洞不会导致系统性风险。
自主性原则：坚持以我为主、自主创新，在借鉴国际经验的同时，立足中国实际建设具有自主知识产权的安全技术体系和治理模式。
四、构建“带洞生存”的方法论体系
“带洞生存”理念强调的并非被动接受安全风险，而是基于现实条件的积极应对策略。在明确了其理论基础、核心机制和基本原则后，将从实践层面阐述如何构建系统化的治理体系，将漏洞从单纯的安全威胁转化为驱动产品持续改进和防御能力不断提升的战略资源。这要求我们着力构建“三位一体”的治理范式：通过建设规模化研究生态来强化漏洞发现与动态防御能力，通过分阶段源码开放来提升漏洞治理透明度与协同效率以及通过虚实结合的靶场建设来锻造实战化应急响应能力。
（一）打造万人研究梯队，筑牢“带洞生存”的人才根基
网络安全漏洞治理的核心要素是人才。“带洞生存”理念的落地，首先需要构建规模化、梯队化的国家漏洞研究队伍，形成对国产软硬件漏洞的全方位持续监测能力。当前，针对国产软硬件漏洞的研究力量存在规模不足、分布分散的问题，亟须从国家战略层面系统性培育漏洞研究人才梯队。
一是要实施系统化的基础人才培养计划。建议与国内重点高校建立合作机制，设立网络安全专项奖学金，将漏洞挖掘与分析技术纳入专业课程体系，通过组织国家级网络安全竞赛实现“以赛促学”，其目标是年均培养10万名具备基础漏洞分析能力的专业人才，构建起国产软硬件安全的“人才蓄水池”。
二是要建立有效的精英人才激励机制。建设立足中国实际、符合我国国情的国家级漏洞悬赏平台。设立阶梯式奖励标准，对基础级别漏洞给予1至5万元奖励，对涉及操作系统、工业控制系统等核心基础软硬件的高危漏洞提供50至200万元的奖励，以此激励顶尖科研人才攻克技术难关，形成“发现漏洞—获得激励—持续研究”的良性循环。
三是要组建产业协同的漏洞治理联盟。联合30家行业内领先企业组成漏洞治理联盟，建立标准化的漏洞情报报送、分析研判与协同响应机制，形成完整的“发现—上报—修复—防护”技术闭环，在确保漏洞不可避免的前提下，最大限度地缩短从发现到防护的时间窗口。
通过上述系统性措施，力争在三年内建立起规模超过5万人的专业研究群体，使国产软硬件漏洞发现能力提升至当前水平的五倍以上，为“带洞生存”提供坚实的人才保障。
（二）推行渐进式源码开放，构建透明协同的漏洞治理机制
源码的适度开放是在“带洞生存”理念下实现漏洞快速发现、协同修复的重要途径。在确保核心安全和知识产权得到充分保护的前提下，应坚持“以我为主、自主可控”的基本原则，实行“渐进式透明”的策略，分阶段推进源码开放工作，构建多方参与、协同治理的漏洞生态体系。
第一阶段重点开放非核心模块源码。优先开放政务、金融等领域基础软件和硬件驱动等非核心模块源码，同步建立规范的代码评审机制，着力培育国内开发者社区的参与积极性，形成本土化的漏洞发现与修复力量。
第二阶段逐步开放核心功能模块。在建立严格安全管控机制的基础上，向经过资质审核的合作伙伴开放核心功能模块源码，同步引入形式化验证等先进技术手段，实施第三方代码签名审计制度，确保在扩大透明度的同时守住安全底线。
第三阶段逐步推进全量代码受控访问。在技术和管理条件成熟的前提下，逐步实现全量代码的受控访问，构建基于区块链技术的代码存证系统，确保所有的代码修改行为可追溯、不可篡改，形成完整的漏洞治理信任链条。
在具体实施路径上，可以参考国际开源社区的成功经验（如Android等），但必须紧密结合我国安全可控的要求。事实上，我国在政务、金融等领域的基础软件适配层代码开放方面已进行有益探索，积累了宝贵经验。应在此基础上，采取分阶段、有重点的开放策略，优先开放政务、金融、能源等关键领域的适配层代码，这些模块具有相对独立、复用度高的特点。通过建立国产开源社区平台，吸引国内外开发者参与代码审计与安全研究，预计可将漏洞的平均修复周期从72天缩短至30天以内，显著提升“带洞生存”条件下的漏洞响应效率。
（三）建设数字孪生靶场，锻造实战化动态防御能力
“带洞生存”的核心在于建立动态防御体系，而网络安全防护能力的提升必须通过持续性的实战化训练来实现。要着力打造覆盖全面、虚实结合的国家级数字孪生靶场体系，为在漏洞必然存在的前提下提升应急响应和动态防御能力提供训练平台和技术验证环境。
一是要建设分布式基础靶场设施。在全国范围内规划建设覆盖200个主要城市节点的分布式靶场集群,实现对能源、电力、交通、金融等关键信息基础设施运行环境的高精度模拟仿真，构建真实场景下的漏洞攻防演练环境。
二是要开发多层次的漏洞演练资源库。系统性地开发和完善包含1000个以上典型业务场景的漏洞演练题库，覆盖范围从底层通用组件漏洞到上层业务逻辑漏洞，确保训练内容的全面性和针对性，使安全团队在漏洞必然存在的环境中具备快速识别、精准定位、有效处置的实战能力。
三是要构建智能化的攻防预测系统。基于数字孪生技术在日常演练中积累的海量攻防数据，建立人工智能驱动的攻击链推演模型，实现网络安全防护从被动处置向主动预警的模式转变，在“带洞生存”理念下构建起具有自主学习、动态演化能力的防御体系。
在靶场建设方面，可研究国际先进靶场项目的建设理念，并充分结合我国关键信息基础设施防护的实战需求。建议设立国家级专项，加大投入力度，整合现有演练资源，构建覆盖全面、虚实结合的数字孪生靶场体系。实践数据显示，经过体系化靶场训练的安全团队，其漏洞应急响应速度平均可提升40%以上，整体防御体系成熟度显著提高，这正是“带洞生存”理念落地的关键支撑。
通过上述三个体系的协同建设和持续运行，预计到2027年，我国国产软硬件年漏洞披露量将突破5000例，同时通过快速修复和体系化防护，将高危漏洞在实际环境中的可利用窗口期大幅压缩，使其占比降至25%以下，最终形成“以漏洞发现促进产品改进，以产品改进强化安全水平，以安全水平支撑带洞生存”的良性发展格局。
“带洞生存”是一种基于现实考量的网络安全治理新范式。它要求我们转变传统的安全观念，从追求绝对安全转向管理动态风险，从被动防御转向主动免疫。通过构建完善的人才培养体系、建立透明的源码开放机制、打造实战化的训练平台，我们能够将漏洞从安全负担转化为发展动力，在承认漏洞客观存在的前提下，建立起具有中国特色的动态安全防御体系，最终实现国产软硬件安全水平的持续提升。这不仅是对当前安全挑战的有效应对，更是夯实数字中国建设安全基石的必然选择。
（本文刊登于《中国信息安全》杂志2025年第11期）
声明：本文来自中国信息安全，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
