计海庆：黑客：走出实验室的技术员

技术展现不仅最顽固地阻止事物和世界的自由表现，而且它毁灭人的本质，把人降格为单纯的技术员。[1]

一

“男，22岁，技校毕业，仅参加过网络技术培训班；经历了多次公司求职失败后，在武汉一家电脑城打工；性格内向、为人低调，无不良嗜好，只是对计算机和网络技术痴迷”。

在我们这个本科生、研究生扎推，大专生几乎要被遗忘的年代，一个中专生也许只能用“普通”这样的词形容了；当然这样的学历，在IT公司找不到工作是再正常不过的事了。但就是这样一个普通得不能再普通的年青人，在互联网上做了一件轰动性的事，一夜成名，但为此付出的代价却是沉重的，他正面临着四重罪行的起诉，可能被处以五年甚至是无期徒刑的严厉判决。如此的惊心动魄为何发生在了这么一个普通年青人身上呢？原因很简单，他是一名黑客。

06、07年交替之际，中国的计算机用户在自己的电脑上最不想看到的是一只“熊猫”，它就是名闻全国的“熊猫烧香”病毒[2]。从06年11月开始传播至今，全国已有数百万台电脑感染该病毒，几万台服务器数据受损。在《06年度中国病毒疫情和互联网安全报告》中，“熊猫烧香”被封为“毒王”——06年十大病毒之首。随即，该事件被立案调查，在公安部亲自督办下，“熊猫烧香案”于今年二月初告破。病毒制造者李俊在武汉被抓获。李俊就是那名年仅22岁的黑客；而“熊猫烧香案”也成了建国以来破获的国内首例制作、贩卖计算机病毒的大案。同时，该案的破获也暴露了已渐成规模的黑客产业链。其运作方式为：托专人编写病毒或购买病毒——攻击网站，植入病毒——用户访问中毒网站、被感染——用户资料被窃取——资料在网上兜售，黑客团伙获利。编写病毒的黑客位于这个产业链的开端，李俊通过出售病毒在短短三个月内获利十多万元，而病毒的购买者和传播者王磊、张顺等人通过卖流量和卖用户资料等获利数十万。据估算，被“熊猫烧香”病毒控制的服务器数以万计，由病毒操纵产生的访问流量，累计已达上千万元，黑客产业从中获利不菲[3]。

这是一桩值得引起深思的事件，但笔者并不想从经济学的角度探讨所谓黑客产业链的形成规律，也不想传授如何提高防范病毒能力的技术；引起笔者兴趣的、或许也是透过这一事件人们想进一步了解的是：为什么黑客这样一个纯粹的技术现象，会发展成牵涉如此之广的社会现象，而且还导致了犯罪的产生？其间究竟蕴含着怎样的演变和转化历程？关注的另一方面则是：在日益深入的社会信息化过程中，怎样才能避免更多黑客犯罪的产生？避免更多像李俊这样的计算机技术爱好者堕落成为罪犯。

二

首先还是从黑客这个词说起吧。“黑客”是“hacker”的中译。但一开始，英语中的hacker一词并不像中文里的“黑客”那样，承载着那么多的贬义，相反它还是个褒义词，至少也是个中性词。当一个计算机程序员为某个程序劳神费力了大半天，终于在灵光一显后想到了一个即简洁又巧妙的算法，他很可能为此高兴地崩出一句“it’s hacked!!”，以示庆祝。所以这个词，在电脑程序员那里是用来表示“在技术上，聪明地找到了解决问题的方法”[4]，而称某人为“hacker”，意思是“这家伙可是个电脑高手，总能在计算机上干出些hack的事情来”。

追溯历史，Hacker的这一特殊用法最初是诞生在上世纪60年代美国的麻省理工学院，是一句校园俚语。那时，麻省理工是当时世界上计算机技术最为领先的研究基地之一，著名的人工智能实验室[5]便在那里。曾在该实验室任职的著名黑客斯托尔曼(R. Stallman)回忆到：“作为这个群体的成员，我是一个实验室的系统黑客，我的工作就是完善软件系统”[6]。“完善软件”就是给初步完成的软件进行纠错测试，并改正错误。程序员们称这工作为“hack”，自己则是“hacker”。毫不夸张地说，hack这种活儿极具挑战性，它需要精深的编程技术。首先程序员要制造各种“意外”来攻击程序，直到发现bug（程序缺陷），然后在成千上万行的程序源代码中分析bug的形成机理，最后用尽可能小的改动来修正错误。在外人看来，或许称这项工作为挑衅性的也许更合适。试想专门给别人找岔子，用别人的错误证明来自己的技术能力，这似乎总是一件不太令人愉快的事儿。但在实验室中这却是另当别论。程序员们的动机和目标都很单纯，为的就是把程序写得更完善，发现错误就是为了改正错误，错误发现得越多，接近成功的几率也越大，错误本身就是一种完善的动力。而促成这种意识的，乃是因为程序员们都是在实验室环境中，在一个开放、平等、目标一致、齐心协力的环境中从事着相互hack这样的事的。

潜移默化中，人工智能实验室的“hacker”一词成了程序员们的行话。在专门解释黑客术语的《新黑客词典》中，“hacker”就是指那些“热爱计算机编程，乐于对任何可编程系统的细枝末节进行钻研并拓展其功能的人。他们有高超的编程技巧，同时也形成了一些社团，共有一套价值认同，相信信息共享是有生命力的、积极的好事；黑客的伦理责任就是：通过编写开放源代码的程序、推动信息的获取和计算机资源的利用，并与人们分享他们的技术专长带来的好处”[7]。由此，黑客们有了自己的文化认同和价值观。整个20世纪60年代到70年代中期，黑客文化很快在美国的各大高校和企业实验室中壮大起来。

黑客这个词诞生的初期，主要是一句实验室内的术语和行话。当然它也蕴含着一些初步的价值理念：主张信息共享[8]等等。构成黑客的主要是各大高校计算机技术实验室的科研人员，以及电信和计算机企业实验室中的工程师[9]。信息共享这样的价值理念只是他们出于自身的职业特点——技术研究，而本能地直觉到的一种实验室行为规范，它带有较强的行业特殊性，把它定位成某种职业道德也许更合适和准确。当然与现在不同，黑客在当时的社会上并没有引起注意和形成影响[10]。

早期的黑客只是一群凭着好奇心在实验室的藩篱内做着各种有趣技术实验的“大孩子”（程序员几乎都是二十多岁的年轻人），看似破坏性的hack行为本质上只是一种实验，在实验室中做实验是再正常不过的事了。因此，如果用一个具体的形象来描述早期黑客——或称之为第一代黑客——的话，那么没有比“实验室中的技术员”更合适和贴切的了。

但没过多久，随着计算机和互联网技术的迅猛发展，这一切被彻底改变了。1969年10月，现今国际互联网（internet）的原型，美国国防部研制的阿帕网（ARPANET）建成运行。起初只有四台主机，之后以每月联入一台主机的速度在全美扩散开[11]。1979起，阿帕网开始转为民用，允许高校和科研机构接入；1990年，原本军事意义上的阿帕网停止运行，整个网络全部成为民用；同年第一个互联网服务的提供商——世界在线(world.std.com)公司开始经营电话拨号上网业务。至1997年，互联网已覆盖一百七十多个国家，近两千万台服务器接入[12]。同时在这个过程中，随着微型计算机——即PC（个人电脑）的普及，越来越多的人在家里就可以上网了。整个过程一言以蔽之就是：计算机技术走出了实验室，走入了千家万户。

从宏观上看，计算机技术走出实验室、走进社会的过程，应该分为前后相继的两个阶段：计算机产品（包括网络）的走出实验室，以及技术人员的实验室思维方式走出实验室。截至当下，前一阶段已经大致告成，而后一阶段也许是处于刚要全面展开之时。

在前一阶段中，计算机技术的商业化扮演了功不可没的角色。商业化直接推动了计算机硬件价格的不断下降，同时又统一了软件和联网标准，这又导致了无数的商用和民用需求的产生；巨大的需求反过来又促进了商业化，最终使网络越来越成为人们生活的一部分。

在计算机和互联网技术席卷全球的过程中，得益最多的要数比尔•盖茨、斯蒂夫·乔布斯这样的IT商业“英雄”了。这些IT精英们都有一个技术研发的背景，他们年轻时都曾是计算机实验室的技术员或计算机爱好者。但他们也是特殊的一群，特殊之处在于：除了精通技术外，还拥有敏锐的商业直觉，发掘出了计算机技术的商业价值，并义无反顾地把计算机技术带出了实验室，引入了市场[13]。

“走出实验室，投身于商业化大潮的技术员”，可称之为第二代黑客。无论是对于技术的精通，还是价值认同和文化信念，他们都继承第一代黑客的衣钵[14]，唯一不同的是，在这一切之后，第二代黑客又加上了一个小小的条件：在享受这些方便和美好前，请先付出一些金钱，因为这一切都是有偿的服务。服务是有偿的，这在商业社会中无可厚非，没有经济上的激励也不可能有计算机和互联网技术如此迅猛的发展，给人们带来的好处也是毋庸质疑的。但如果换一个角度看，走出实验室，投身于商业化大潮的第二代黑客，与其说他们是把技术产品带入了社会，倒不如说是相反，在这一过程中，社会正在被带入实验室。计算机公司们所做的正是把社会（从硬件方面）日益改造成一个实验室。原先计算机实验室中的大型计算机[15]和局域网，现在摇身一变，成了价廉物美的PC和资费便宜的互联网接入服务。同时，每年不断上升的PC销售量和越来越多的互联网用户，促成的是社会信息化程度的飞速提升。从技术的角度看，所有的这些都证明了计算机技术正日益渗透进社会；反之从社会的角度看，商业化和信息化的大发展，正在把整个人类社会改造成一个巨大的计算机实验室。“社会实验室化”的倾向日益加深。原先那道横亘在计算机实验室和社会之间的藩篱正在被拆除，而这正是黑客这个词从褒义转变为贬义的根源所在。

现在，一当人们提到黑客，总是在憎恶中带着点儿畏惧。更有甚者，在警方的眼中黑客已经成了网络犯罪的同义词。任何熟悉一些互联网历史的人，对于罗伯特·莫里斯、凯文·米特尼克、陈盈豪等黑客的名字耳熟能详，但使他们一夜成名的却并不是什么好事。

罗伯特·莫里斯[16]是美国国家计算机安全中心首席科学家的儿子。哈佛毕业，康奈尔大学的研究生。1988年他在网上散播了自己编写的蠕虫病毒。该病毒不断截取用户口令等网络中的“机密文件”，并侵入互联网中其它用户的电脑。造成的后果是成千上万接入互联网的计算机受到了影响，大部分机器崩溃，损失近亿美元。最终年仅22岁的莫里斯被判刑三年，罚金一万美元。

凯文·米特尼克[17]则是一个电脑神童，15岁时，便闯进了美军的“北美空中防务指挥系统”的服务器，和另外一些朋友翻遍了美国指向前苏联及其盟国的所有核弹头的数据资料，然后又悄无声息地溜了出来。米特尼克的黑客生涯到其入狱时差不多有15年之久。作案时间之长、作案次数之多、破坏力之大，技术之精、经历之传奇，都让全世界为之震惊，也使电脑警察们汗颜。终于他在1995年被捕入狱。

陈盈豪[18]，一个台湾大学生，1999年著名的CIH病毒的作者和散播者。据初步统计，该病毒造成的了全球6000万台电脑瘫痪。其中韩国的损失最为严重，共有30万台电脑中毒，占全国电脑总数的15％以上，损失更是高达两亿韩元以上。

仔细分析这些案例，可以发现两个共同的特征。首先，作案者都是对计算机技术极度痴迷的“大孩子”，被捕时都是二十多岁。生活中的大部分时间都用于钻研技术，无一不是电脑高手。侵入他人计算机系统、散播病毒的动机，其实很简单：出于好奇和获得技术上的成就感。莫里斯发现了unix系统[19]的几个漏洞，编写了蠕虫病毒，但认为“这只是一个检验网络安全的无害的计划”。米特尼克喜欢把闯入他人计算机系统作为对自己技术能力的挑战，当他被另一位联邦调查局的计算机高手在网上锁定并被抓获后，仍不忘向那人的高超技术表示敬意。陈盈豪在大学内被视为“高手中的高手”，编写CIH病毒的初衷只是想“出一家公司的洋相”，因为那公司在广告上吹嘘自己的软件能“百分之百”地防毒。天生的好奇和渴望技术上的成就，都是一个好技术员的必备条件，如果这些天才的黑客们能够在实验室的研究中发挥自己的技术天赋的话，没人会怀疑他们将取得巨大的成功。但是，当这些大孩子自以为只是在技术上做了一些小小的实验时，他们并没有意识到他们的行为蕴含了怎样的危险，因为那是在错误的地点——实验室外做实验。或许他们把自己定位为技术爱好者或探索者，但人们并不想把社会也定位成一个实验室。因此，问题的关键在于他们没想到：这些小小的技术实验，如果在一个不适当的地方进行，会产生怎样的严重后果。事实也表明，无一例外，当他们得知自己的行为造成了如此之大的损害后，第一个反映就是自己“闯祸了”。对黑客行为将引起的破坏性后果，缺少足够的认识，就是他们的第二个共同特征。

至此，那些“年青、缺乏社会经验，盲目地在实验室外做实验的技术爱好者”可以称之为第三代黑客。如果说，第二代黑客们是把计算机产品带出了实验室的话，那么第三代黑客则是把实验室的思维——寻找计算机系统的漏洞，共享一下他人的信息——也带到了社会中，并进行着实践。第三代黑客的出现是破坏性的，“黑客”这个词也由此被抹黑。以至于原先的第一代黑客——实验室中的技术员们，不愿意和他们分享这一曾经的光荣称号，把这些破坏分子叫作“骇客（cracker）”[20]，以区别于“黑客（hacker）”。但事实上，这已经不是两个词之间如何区分的问题了，也不是一群人和另一群人如何区分的问题了，而是如何来认识和反思我们存在于其中的日益实验室化的社会。

在科学发展的历史上，实验室从来都是一个充满危险的地方，诺贝尔在实验室中屡次被炸受伤，居里夫人由于在实验室中受了放射线的伤害，严重影响了健康；而丧命于实验室意外的科学家更是不乏其人[21]。因此，为了避免实验室中发生的意外波及社会造成灾难，在实验室和人类社会之间需要设立一道起着隔离作用的藩篱。密封门、防护服、特殊的实验装置等等，这些设备在保护实验人员的同时，也力图把实验室内的风险尽可能地限制在小范围内，避免扩散和外泄。但除了物理层面的隔离外，还有一道思想意识层面的藩篱，那就是科学家和技术人员道德上的自觉：即意识到内外有别，不把个人的好恶带到实验室的工作中，但更重要的则是时刻提醒自己：不能在一个开放的空间中做实验室中的实验。因此，一个有良知的技术人员，始终应以实验室与社会间的这道藩篱作为判断和衡量自己行为得当与否的红线，时刻意识到内外有别、内外不混。但正是在这点上，第三代黑客们（即骇客们）“隔离意识”的集体缺失，造成了社会和黑客自身都为此付出了惨重的代价。

除了黑客自身的“隔离意识”缺失的内因外，社会的实验室化则是黑客攻击事件的外部诱因。在计算机技术走出实验室走进社会的过程中，商业化已经在很大程度上完成了第一阶段：即计算机产品走出实验室，走进社会。现今，已经有太多的电脑在日常生活中被应用，有太多的电脑被接入了互联网。社会和实验室之间的距离，已经变得只有一元人民币那么得短——花上一元钱就可以在网吧里走进互联网这个巨大无比、无所不包的虚拟社会，当然在黑客们眼中它则是一个同样巨大的实验室。客户可以在网上支付和购物，银行可以在网上结帐和转帐，政府可以在网上办公，恋人可以在网上写写情书，黑客也可以在网上释放几个病毒。一切都是如此得便捷，便捷到有谁会还在打开浏览器前停一停，先评估一下假如有黑客来共享一下你的帐号、你的密友、你的隐私的话，损失的将是什么。一般人当然没有这个意识，而那些技术爱好者们也不会想那么多：互联网是所有人的互联网，是顾客的、是银行的、是政府的，为什么就不能是技术爱好者的呢？因此同样的便捷也导致了从技术爱好者到黑客的转变，仅在于键盘上手指的起落，仅在于鼠标的轻点，仅在于一念之差。转念之间，社会和实验室间的那道藩篱已经灰飞烟灭；转念之间，实验室思维就完成了它在社会中的实践。尽管藩篱已经破碎，但社会还是有自己规范行为的底线——法律。所以第三代黑客远没有第一代黑客那样的幸运，技术员在实验室中的犯的错误，可以在实验室中改正，但技术爱好者在社会中犯的错误却需要他们在监狱里改正。于是，转念之间，技术上的小小实验就成了犯罪，技术爱好者也成了罪犯。

再进一步探究的话，在第三代黑客身上，明显地存在着一种错位的技术员意识。编写小程序是黑客们的爱好，探测网上计算机可能存在的漏洞，也是他们的本能，于是编写一个测试漏洞的小程序[22]，在黑客的技术员意识看来是顺理成章。当然这些都还没有构成犯罪，可一旦黑客在技术员意识指导下付诸行动：把病毒植入他人计算机时，他们就跃出了横亘在实验室和社会之间的那道藩篱。这一行为的致命之处在于，实验室的思维——测试程序漏洞、共享他人信息——在错位的技术员意识作用下，被带入了互联网这个虚拟的社会中。但虚拟并不等于虚假，互联网仍是一个完整意义上的社会，或者更准确地说互联网就是社会中人际关系展现的一个层面，在这里的所作所为并不因为它的虚拟而无需负责任。因此，在互联网中测试网上计算机的漏洞、释放病毒，这种行为和把一个城市作为原子弹的实验场没什么本质上的不同，二者都是在一个错误的地点进行了实验，都是错位的技术员意识作用下，在社会中实践了实验室思维。

黑客从一个纯粹的技术现象演变为引起全球关注的社会现象的历程便是如此，它的发生发展有一个大背景：计算机技术的社会化，或者换言之也就是社会的（计算机）实验室化。伟大的社会信息化的浪潮，以计算机技术走出实验室这一影响深远的事件为标志。它的第一次发生导致的是一出喜剧——计算机产品走出实验室，造就了无数的IT商业英雄，同时也大大方便了社会，第二次发生引出的却是一出悲剧——实验室思维走进了社会，造成了互联网安全隐患的大暴露。

三

描绘出黑客现象的演生史只是第一步；更迫切的问题是：当实验室思维伴随着技术产品一起走进社会时，我们该怎么做？或者更具体地说就是：怎么才能避免更多的罗伯特•莫里斯、米特尼克、陈盈豪、乃至“熊猫烧香”的作者李俊们不再重蹈覆辙？

解决这一问题的杠杆点还是在于那道在实验室和社会间起着隔离作用的藩篱，还是在于技术员们（包括技术爱好者们）的实验室“内外有别”和“内外不混”的处境意识。这种意识看似要求的仅仅是区分到底是在“实验室内”还是“实验室外”，但关涉的却是科学和技术的伦理正当性这样的根本性大问题。

在描述第一代黑客在实验室中做着相互hack的实验时，笔者特意区分了这是一种挑战性的工作，而非挑衅性的攻击。其中的原因同样在于实验室和社会的内外有别。实验室中的行为准则和价值判断与一般社会意义上的行为准则和价值判断不尽相同。前者的关系特征可归结为：比较单一的研究者与研究项目的关系，实验室中不同的研究者共有一个目标和价值判断，即研究项目的成功；而后者一般情况下都是不同人之间的利益博弈，人与人之间目标和利益取向可能是各不相同，或相背的。因此，为了避免不同的价值取向对研究工作产生影响，研究人员应把个人的好恶隔离在实验室之外，仅仅把自己作为研究者，以保持实验室中研究者和研究项目之间的单纯的关系。

由此事例进行逆向思考，也许就可以得出一些杜绝黑客犯罪的启示。第三代黑客触犯法律的实质在于错误地在实验室外实践了实验室的思维。他们在释放病毒时被技术员意识完全支配了，认为自己是技术爱好者，所做的只不过是用自己写的小程序在互联网上测试一下计算机的漏洞。这其实是一种独断性的思维，技术员意识令他们在互联网中只看到了计算机，而没有看到计算机背后蕴含的社会关系；只想到了计算机是实验室中的测试对象，没想到做实验前要征得他人同意；只想着去破解一道技术难题，而不去想后面将发生什么。独断性带来的盲目，最终促使实验室思维在社会中被实践了。这其实与一个研究者出于个人好恶，打压和否定一个更好实验方案的情形如出一辙，都是处境判断上的错误所导致的思维方式的混淆和误用。前一种是社会关系的丰富性被技术关系的单一性替代；后一种则是社会关系的复杂性干扰了技术研究的单纯性。社会关系的丰富性误用的结果是起干扰作用的复杂性，技术关系的单纯性越界使用的后果是盲目的独断性，所有的错误都源于僭越了那道在实验室和社会之间的藩篱。

于是，去掉这种独断性的盲目，让黑客们除了技术之外，还能看到更多其它的东西才是化解的根本方法。社会本来就是一个多重的人际关系系统，政府、企业、社团各有各的价值取向和行为方式，这些肯定都不是技术员的和实验室的思维方式能代替的。社会信息化只是把计算机和网络作为人们方便沟通的工具，计算机产品走出实验室走进社会，是人们的需求使然；但同样能肯定的是，在社会中做实验、在社会中实践实验室思维，一定不是社会信息化要达到的目标[23]，实验室思维是不应该和技术产品一起走出实验室，指导日常生活实践的。黑客们实践实验室思维所带来的恶果，应该引起人们的警觉了。社会中不能只存在一种技术员意识，一旦实验室的思维控制了社会，那么社会便将成为一个真正的实验室了。   

 回到“熊猫烧香”这一事件上。李俊是一名黑客，但他首先是人，人有人的丰富性，可以是学生、是公民、是军人、是职员、是商人，当然也可以是技术员。可惜，由于年轻和缺乏社会经验，李俊在痴迷于技术的同时，忘记了他所拥有的其它社会身份要求的义务和责任。作为技术爱好者，李俊也许只是把一个程序仅仅当作一个程序，但在黑客产业的操纵者眼中，程序则是病毒、是套取他人隐私的木马，是敛财的工具；黑客可以以为自己是技术员，但贩卖和传播病毒者并不只想测试一下他人计算机的漏洞就作罢，他们还要共享别人的信用卡。单纯的技术员思维，在复杂的社会中不应该再一如既往地做黑客这个游戏了。