Introduction  引言

Nation-state hacking has emerged as a significant challenge in today's interconnected world. These cyber operations, sponsored or conducted by governments, aim to achieve strategic objectives ranging from espionage and political disruption to economic sabotage and influencing foreign affairs. Unlike typical cybercrime motivated by financial gain, nation-state attacks are characterized by their long-term strategic nature, substantial resources, and the legally ambiguous environment in which they operate.
国家行为者网络攻击已成为当今互联世界中的一项重大挑战。这些网络行动由政府资助或实施，旨在实现从间谍活动和政治干扰到经济破坏和影响外交关系的战略目标。与典型的以经济利益为动机的网络犯罪不同，国家行为者攻击的特点在于其长期战略性质、大量资源以及其运作的法律模糊环境。

Advanced Persistent Threats (APTs)
高级持续性威胁（APT）

Nation-state hacking is typically executed by Advanced Persistent Threats (APTs)—highly skilled, well-resourced groups that target critical infrastructure, corporate systems, and public institutions. These groups often operate with sophisticated techniques and significant patience, maintaining access to compromised systems for extended periods.
国家行为者网络攻击通常由高级持续性威胁（APT）执行——这些是技术高超、资源丰富的团体，它们针对关键基础设施、企业系统和公共机构。这些团体通常采用复杂的技术并表现出极大的耐心，在受感染的系统中保持访问权限很长时间。

The ethical and legal landscape
道德和法律环境

Nation-state cyber operations raise profound questions about sovereignty, international norms, and cyberspace engagement rules. The traditional boundaries that govern physical conflicts become blurred in the digital realm, creating challenges for international law and diplomatic relations.
国家网络行动引发了对主权、国际规范和网络安全参与规则的深刻问题。在数字领域，管理物理冲突的传统边界变得模糊，给国际法和外交关系带来了挑战。

Real-world impact  现实影响

Consider the activities of Russian APT groups such as APT28 (Fancy Bear) and APT29 (Cozy Bear), which have been linked to high-profile incidents, including election interference and targeting COVID-19 vaccine research. These cases highlight the difficulty of conclusive attribution in cyberspace and the limitations of existing international legal frameworks.
以俄罗斯 APT 组织 APT28（Fancy Bear）和 APT29（Cozy Bear）的活动为例，这些组织与多起重大事件有关，包括干预选举和针对 COVID-19 疫苗研究的攻击。这些案例突显了网络空间中结论性归因的困难以及现有国际法律框架的局限性。

Discussion questions  讨论问题

1. Should nation-states be held to establish international cybersecurity norms, or should they be granted exceptions in the name of national security? Consider how this balance might affect global digital infrastructure.
   国家是否应该被要求建立国际网络安全规范，或者是否应该以国家安全为由给予例外？考虑这种平衡如何影响全球数字基础设施。
2. What responsibilities and protections should be afforded to those who monitor and expose state-based cyber threats, such as security researchers and civil society organizations?
   监控和揭露国家层面网络威胁的人员（如安全研究人员和公民社会组织）应该被赋予哪些责任和保护？

---

国家行为者网络攻击：主权、规范与全球数字公地的困境

关于国际规范与国家安全的平衡

我认为，国家行为者不仅应被要求建立国际网络安全规范，而且这已成为维护全球数字基础设施稳定的紧迫需要，但这绝不意味着规范可以简单套用传统战争规则或完全消除国家间的网络博弈。

这是一个深刻的“囚徒困境”：每个国家都以国家安全为由保留网络进攻能力，结果却共同生活在一个更不安全的世界。我的观点基于以下分析：

1. “例外论”的不可持续性：若每个国家都以“国家安全”为绝对例外，则网络空间将沦为“无规范领域”，最终损害所有国家的安全，包括最强大的行为体。2017年“NotPetya”攻击（最初针对乌克兰，但全球蔓延造成百亿美元损失）就是明证——不加区分的网络武器最终会反噬所有人。
2. 建立“网络空间交通规则”的必要尝试：尽管困难，但联合国政府专家组（UNGGE）进程、《塔林手册》2.0等努力，正试图建立一些底线共识。我认为以下规范应是可追求且符合各国长期利益的：
   • 对关键民用基础设施的禁忌：如电网、水处理、医疗设施等，应被视为“数字时代的医院与教堂”，即使冲突中也应受保护。
   • 供应链攻击的克制：大规模污染软件更新（如SolarWinds事件）破坏了全球对数字产品的信任，最终损害所有经济体的利益。
   • 一定的透明度与危机沟通机制：避免因误判导致冲突升级。
3. 现实主义下的“分层规范”路径：完全禁止国家网络行动不现实，但可区分：
   • 应绝对禁止的：造成人身伤害或大规模人道危机的攻击。
   • 应受严格限制的：经济间谍、破坏政治进程、盗窃知识产权。
   • 可建立“交战规则”的：军事领域的网络对抗，需遵循武装冲突法中的区分、比例原则。

**关键在于，规范的缺失最终会破坏支撑全球经济的数字公地。**​ 即使是强国，其繁荣也依赖于相对稳定、可信的互联网。因此，建立规范不是“自我设限”，而是维护一种“有管理的竞争”环境，符合所有主要国家的长期利益。

关于揭露者的责任与保护

这是一个极其艰难的伦理与法律前沿。监控和揭露国家网络威胁的个人与组织（如研究人员、公民社会组织）扮演着至关重要的“民间免疫系统”角色，但他们目前处于高度脆弱的境地。

应被赋予的保护

1. 法律安全港：对善意、负责任、符合公共利益的研究与披露，应提供明确的法律豁免，使其免于《计算机欺诈和滥用法案》等立法的起诉。披露应遵循“协调漏洞披露”原则：先通知受影响实体与国家级CERT，给予合理修复时间，仅在实体完全不作为时才逐步公开。
2. 匿名与庇护机制：对于揭露极权国家网络行动的研究者，国际社会应建立更有效的数字匿名提交渠道（如通过受信任的媒体或国际组织），并在必要时提供政治庇护。2013年“影子经纪人”事件后的混乱，正说明了缺乏合法披露渠道的危害。
3. 平台责任豁免：威胁情报平台（如VirusTotal）在分析恶意软件时，应被允许处理可能包含被黑数据的样本，而不承担“处理赃物”的责任，前提是其服务纯粹用于防御研究。

其应承担的责任

1. 严谨的归因与高度的审慎：国家行为归因错误可能引发外交危机甚至战争。揭露者必须有“超越合理怀疑”的证据标准，区分高度可信、中等可信和推测性评估，并明确说明证据的局限性。不成熟的公开指控（如某些未经证实的选举干预报告）会破坏公众信任。
2. 避免造成直接伤害：不应在披露中公布武器级的漏洞利用细节（0-day）或攻击基础设施的具体配置，以免被其他攻击者即时利用。2017年影子经纪人公开NSA工具，导致WannaCry全球勒索攻击，是惨痛教训。
3. 动机的纯粹性：真正的保护应给予以提升集体安全、问责权力为动机的揭露者，而非那些为个人名誉、政治派别或商业利益而选择性泄露、煽动舆论的研究。

综合视角：一个脆弱平衡下的前进路径

国家行为者网络行动的治理，本质上是**“主权”与“全球公地”**​ 的古老张力在网络空间的再现。理想的状态是达成一项“数字日内瓦公约”，但现实路径将漫长且充满博弈。

对于普通企业和个人，这一困境的启示是：

• 假设性前提：必须假设自己是国家间网络博弈的潜在受害者（如供应链攻击的连带损害），并据此做好基础防御（如网络隔离、数据备份、员工培训）。
• 支持负责任的披露文化：企业应建立清晰的漏洞披露政策，安全社区应保护那些遵循伦理的研究者，这是对抗国家级威胁的重要社会力量。
• 理解地缘政治风险：在全球化运营中，必须将网络空间的地缘政治纳入风险评估。依赖特定国家技术供应商或位于数字冲突前沿地区的服务，可能带来意外风险。

最终，网络空间既非纯粹的“公地”，也非完全的“主权领域”，而是一个混合空间。其治理需要国家、企业、技术社群和公民社会的共同参与。虽然前路艰难，但确立“不损害民用基础”、“克制经济间谍”等最低限度规范，并构建保护负责任研究者的社会与法律框架，是走向一个既承认竞争现实、又避免灾难性失控的数字未来的必要步骤。