顯然，威脅正在加劇，美國的應(yīng)對戰(zhàn)略卻并不清晰。威懾必須被視為應(yīng)對方法之一，但與華盛頓駕輕就熟的核威懾相比，網(wǎng)絡(luò)威懾（cyber-deterrence）的形式并不完全一致。核打擊是個單一事件，核威懾的目標則是防止其發(fā)生。相較之下，網(wǎng)絡(luò)攻擊次數(shù)眾多且持續(xù)不斷，對它們的威懾更像面對普通犯罪時的做法那樣，目標在于將其限制在一定范圍之內(nèi)。在制止犯罪的問題上，于逮捕和判刑之外，無論是法律、規(guī)范的教育效果，還是社區(qū)巡邏和社區(qū)警察的日常活動，都發(fā)揮了重要作用。道理很簡單，威懾犯罪并不需要蘑菇云這樣的威脅。

盡管如此，懲罰在網(wǎng)絡(luò)威懾中仍起著重要作用。美國政府已公開表示，它將用自己選擇的武器和與其利益所受傷害相稱的武力來應(yīng)對網(wǎng)絡(luò)攻擊。盡管十年前警告就已發(fā)出， “網(wǎng)絡(luò)珍珠港”事件目前尚未出現(xiàn)。美國是否將網(wǎng)絡(luò)攻擊視為武裝攻擊取決于其作用后果，這也讓那些處在灰色地帶的網(wǎng)絡(luò)行動有了漏洞可鉆，2016年美國總統(tǒng)大選期間俄羅斯發(fā)起的網(wǎng)絡(luò)攻擊便是典例。

盡管俄羅斯等國最近發(fā)起的網(wǎng)絡(luò)行動似乎主要是間諜活動，但拜登政府卻抱怨說它們的規(guī)模與持續(xù)時間都超出了正常的間諜活動范圍。這便是為什么網(wǎng)絡(luò)空間的威懾不僅需要懲罰，還需要防御和“糾纏”（entanglement），前者要求系統(tǒng)足夠堅固和有彈性，以阻攔攻擊或讓攻擊者畏難放棄，后者要求在與潛在對手建立廣泛聯(lián)系從而一榮俱榮一損俱損。當然，這些方法單獨使用都有局限。盡管如此，懲罰性威脅與防御性遏制的結(jié)合仍會影響各種力量對成本收益的考量。

在改善境內(nèi)網(wǎng)絡(luò)的防御系統(tǒng)之外，近年來華盛頓還接受了美國網(wǎng)絡(luò)戰(zhàn)司令部稱之為“向前防御”（defend forward）和“持續(xù)交鋒”（persistent engagement）的戰(zhàn)略概念，通過主動發(fā)起小規(guī)模網(wǎng)絡(luò)進攻行為盡可能降低敵對國網(wǎng)絡(luò)攻擊的威脅。一些報道認為，這些做法降低了俄羅斯對美國2018年與2020年大選的影響。但進入和破壞對手的網(wǎng)絡(luò)本身也會帶來沖突升級的風(fēng)險，必須謹慎處之。

“住在玻璃房子里的人不該扔石頭”

即便美國兼具網(wǎng)絡(luò)戰(zhàn)的防御和進攻能力，但由于自由市場與開放社會，在網(wǎng)絡(luò)攻擊和干涉行動面前依然顯得脆弱。“我覺得至少可以想想那句老話，住在玻璃房子里的人不該扔石頭”。在2015年國會舉行的對美網(wǎng)絡(luò)攻擊聽證會上，時任美國國家情報總監(jiān)的詹姆斯·克拉珀（James Clapper）如此評論道。他正確地指出，盡管美國人可能最擅長扔石頭，但他們自己卻住在玻璃房子里。這一現(xiàn)實讓美國對制定網(wǎng)絡(luò)安全規(guī)范特別感興趣，畢竟它們可以減少在網(wǎng)絡(luò)空間“扔石頭”的行為。

盡管網(wǎng)絡(luò)軍控條約的談判將極為困難，因為條款的落實很難驗證。但網(wǎng)絡(luò)空間相關(guān)的外交活動卻并非不可能。事實上，發(fā)展網(wǎng)絡(luò)規(guī)范的國際合作已經(jīng)持續(xù)了二十多年。1998年，俄羅斯首次提議制定聯(lián)合國條約，以禁止電子武器和信息武器。美國拒絕了這一提議，認為該領(lǐng)域的條約難以最終落實，因為一行代碼是否為武器最終取決于用戶的意圖。相反地，美國同意由聯(lián)合國秘書長任命一個包括15名成員（后來擴大到25人）的政府專家小組來制定網(wǎng)絡(luò)空間的“通行規(guī)則”。該專家組于2004年首次舉行會議。

自那時起，已有六個類似小組召開會議并發(fā)表了四份報告，建立了一個廣泛的規(guī)范框架，并獲得了聯(lián)合國大會的認可。它們的工作加強了以下共識：國際法在網(wǎng)絡(luò)空間同樣適用，對維護網(wǎng)絡(luò)空間的和平與穩(wěn)定至關(guān)重要。除了努力解決復(fù)雜的國際法問題外，2015年發(fā)布的報告還引入了11項自愿的、不具約束力的規(guī)范內(nèi)容，其中最重要的包括回應(yīng)他國合理的援助請求，禁止攻擊民用基礎(chǔ)設(shè)施和干擾大型網(wǎng)絡(luò)攻擊發(fā)生后的計算機應(yīng)急響應(yīng)團隊，以及避免他人在領(lǐng)土范圍內(nèi)使用網(wǎng)絡(luò)工具發(fā)動不法行為。

該報告曾被視為突破性進展，但在2017年遭遇了挫折，因?qū)＜医M未能就國際法律問題達成一致，該年度并未形成共識性報告。在俄羅斯的建議下，聯(lián)合國決議通過成立不限額專家工作組來補充現(xiàn)有體系，它向所有國家開放，非國家主體也被納入其中，包括數(shù)十家私營公司、民間社會組織、學(xué)者和技術(shù)專家。2021年初，新的專家組發(fā)布了一份詳盡——盡管有些乏味——的報告，它重申了2015年的規(guī)范內(nèi)容，以及國際法與網(wǎng)絡(luò)空間的密切關(guān)聯(lián)。去年6月，第六個專家組也完成了工作，并發(fā)布了一份報告，為2015年首次引入的11項規(guī)范增加了重要細節(jié)。中、俄兩國正在敦促相關(guān)條約的簽署，但更可能發(fā)生的是這些規(guī)范內(nèi)容本身的逐漸演變。

在聯(lián)合國方面的進展之外，許多論壇也在討論網(wǎng)絡(luò)規(guī)范，其中包括網(wǎng)絡(luò)空間穩(wěn)定全球委員會（Global Commission on the Stability of Cyberspace）。該組織于2017年由一家荷蘭智庫發(fā)起，并受到荷蘭政府的大力支持，由愛沙尼亞、印度和美國共同主持，成員包括來自16個國家的前政府官員、公民社會專家和學(xué)者，我也是其中之一。

它提出了8項規(guī)范以解決既有聯(lián)合國指南的不足。其中最重要的是呼吁保護互聯(lián)網(wǎng)的“公共核心”基礎(chǔ)設(shè)施不受攻擊，并禁止對選舉系統(tǒng)的干擾。它還呼吁各國不應(yīng)使用網(wǎng)絡(luò)工具干擾供應(yīng)鏈，不應(yīng)未經(jīng)主機允許便將僵尸網(wǎng)絡(luò)植入其他機器以控制它們；應(yīng)建立透明的流程，讓各國可以據(jù)此來判斷是否要披露在他人編碼中發(fā)現(xiàn)的缺陷和漏洞；應(yīng)鼓勵各國在發(fā)現(xiàn)網(wǎng)絡(luò)安全漏洞時應(yīng)及時修補，而非囤積起來以待將來可能的應(yīng)用；應(yīng)通過法律法規(guī)等手段改善“網(wǎng)絡(luò)衛(wèi)生”（cyber hygiene）狀況；通過將私營企業(yè)的“反向黑入”（hack back）定性為非法活動，來阻止私人企業(yè)或個人在受到攻擊后自發(fā)組織的報復(fù)性行為。

當然，與開發(fā)復(fù)雜的網(wǎng)絡(luò)防御系統(tǒng)相比，這些努力沒那么耀眼，所需成本也更低廉，但在管控在線惡性行動的問題上，它們將發(fā)揮至關(guān)重要的作用。我們還可以為網(wǎng)絡(luò)空間構(gòu)想并提出更多、更深入的規(guī)范，但現(xiàn)在真正重要的問題并非規(guī)范的多少，而是它們的實踐路徑和它們是否能以及何時改變國家行為。