【文/约瑟夫·奈  翻译/谈行藏、粒民】

无论是勒索软件攻击、选举干扰、企业间谍活动还是对电网的威胁，从当下的头条新闻关键词来看，无政府的网络空间很难有重建秩序的希望。这些坏消息描绘了一幅已然失控的网络世界图景，它的危险日益可见，影响边界也已从网络空间自身弥散开去，延展到经济运转、地缘政治、民主社会以及战争与和平这类基本问题。

鉴于这一令人忧心的现实，那些试图在网络空间制定“通行规则”（rules of the road）的建议往往都会遭遇质疑：网络空间的核心属性使所有强制性规范都难以执行，甚至难知以晓它们是否曾被违反。那些宣布支持网络规范的国家也可能是予其对手以大规模网络攻击的国家。

例如，2015年12月，联合国大会首次批准了一套11项不具约束力的国际网络规范。俄罗斯参与了制定，也在公布时签字加入。但就在当月，它发动了对乌克兰电网的网络攻击，导致大约22.5万人在几小时内无电可用，它也加大了对美国2016年总统大选的干预力度。对怀疑论者而言，这进一步证明在网络空间建立负责任的国家行为规范无异白日做梦。

然而，这种怀疑恰恰揭示出他们对规范运作逻辑的误解，这种误解还将随时间的推移而得到加强。违规行为若不被指明，是会削弱规范的效力，但也不会使其变得无关紧要。规范的意义在于它能创造一种行为期待，使其他国家也有可能遵守。规范还有助于使官方行为合法化，并帮助各国在决定对违规行为做出反应时获得支持。

当然，规范不可能突然出现并开始生效。历史表明，颠覆性的技术变革出现后，社会往往需要花时间去学习如何应对，并制定规则以使世界更加安全，免受新危险的困扰。美国向日本投掷原子弹后二十年，各国才就《有限禁止核试验条约》与《核不扩散条约》达成协议。

尽管网络技术带来了独特的挑战，但在过去的几十年里，旨在约束其应用的国际规范似乎正在以惯有方式建立，缓慢但稳健。随着这些规则建立，它们在降低网络技术发展带来的国际秩序风险方面，将发挥愈发重要的作用，特别是在华盛顿及其盟友、伙伴们用其他威慑方法强化这些规范的情况下。

一些分析人士认为威慑在网络空间中不起作用，但这一结论过于简单。它依然有用，只是生效方式与核领域不同。事实证明，替代性策略的效果跟威慑一样，甚至可能更差。随着目标的不断扩展，美国必须奉行兼顾威慑与外交的战略，以在这一新的危险世界中筑好护栏。在其他领域建立规范的历史记录为此提供了有效的起点。我们应努力破除这样一种观念：当下的网络世界是一个全新的不同以往的存在。

《V字复仇队》剧照

“第五维战场”已经出现，美国战略仍未清晰

网络攻击的代价日益攀升，而美国防御网络攻击的战略仍显不足。一个好的战略必须立足本土，但同时也要认识到网络空间天然的跨国属性，国内与国外二者之间并非泾渭分明。此外，在网络安全方面，公共漏洞和私人隐患的边界也逐渐模糊。互联网是一个由众多网络组成的网络，其中大部分属于私人。与核武器或常规武器不同，政府无法完全控制它们。企业往往会在追求安全与最大化短期利润之间做权衡。然而企业防御不足，却对国家安全有巨大的负外部效应。俄罗斯最近对SolarWinds软件发动的网络攻击就是明证，该软件拥有进入美国政府和私营部门电脑的权限。与军事领域不同，在这件事上五角大楼并不是主角。

在国际军事冲突问题上，于传统的陆、海、空、天四维之外，计算机网络已成为第五维战场，2010年成立网络战司令部时美国军方明确承认了这一点。“第五维战场”的特殊之处包括距离的湮灭（海洋从此不再成为天然屏障）、交互的速度（远快于太空中的火箭）、成本的低廉（进入门槛大幅降低）和溯源的困难（这又催生了推诿塞责与反应迟缓）。

尽管如此，怀疑论者有时仍会把网络攻击仅仅描述为一件麻烦事，而非一个关键的战略性问题。他们认为，网络领域确实已成为间谍活动和其他各类破坏性秘密行动的理想选择，其重要性却远不如传统战场，毕竟没人会因为网络攻击而丧生。当然，这么看的人已经越来越少。2017年WannaCry勒索软件侵入了英国国家卫生服务系统（British National Health Service），因电脑被加密锁定无法使用，数千名患者的预约被迫取消，新冠病毒大流行期间医院和疫苗生产商再度成为勒索软件和黑客攻击的直接目标。

更需注意的是，关于网络工具的使用如何升级为物理冲突，还有很多甚至专家都不明白的地方。举例来说，美国军方重度依赖民用基础设施，而网络渗透将在危机时刻严重削弱美国的防御能力。从经济方面看，网络安全事件的规模与成本一直在增加。据估计，在2017年发生的那场由俄罗斯支持，针对乌克兰的NotPetya勒索软件攻击中，大量银行、电力公司、加油站和政府机构的电脑数据被抹除，给相关企业造成了超过100亿美元的附带损失。

在规模与成本之外，潜在的攻击目标数量也在迅速增加。专家估价，随着大数据、人工智能、智能机器人和物联网的兴起，到2030年互联网接入设备量将接近一万亿。早在20世纪80年代，世界便已见识过网络攻击，但其攻击面却在之后急剧扩大，从工业控制系统到汽车再到个人数字助手，都在它的攻击范围之中。