「這不是孤立事件」——NASA監(jiān)察長辦公室在結(jié)案報(bào)告中寫下這句話時(shí)，一場持續(xù)近五年的精密釣魚行動剛剛被揭開。一名中國籍嫌疑人如何騙過NASA、空軍、海軍、陸軍工程師，拿到出口管制的國防軟件源代碼？

案件骨架：一場"熟人"騙局

2017年1月至2021年12月，宋吳（音譯）及其未具名同伙執(zhí)行了一場針對美國國防科技體系的長期滲透。目標(biāo)清單包括：NASA、空軍、海軍、陸軍、聯(lián)邦航空管理局，以及多所主要大學(xué)和私營企業(yè)。

作案手法并不依賴技術(shù)漏洞，而是利用人際信任。調(diào)查人員發(fā)現(xiàn)，嫌疑人會"嚴(yán)格研究目標(biāo)"（rigorously research their targets），隨后偽裝成對方的朋友或同事，通過郵件索要航空航天設(shè)計(jì)和武器開發(fā)用的建模軟件副本或源代碼。

這些軟件因涉及國防用途，受出口管制法規(guī)約束。受害者在不知情的情況下違反了管制規(guī)定——他們以為自己只是在幫"熟人"一個(gè)小忙。

正方：這是一起典型的APT式經(jīng)濟(jì)間諜案

從調(diào)查細(xì)節(jié)看，此案具備高級持續(xù)性威脅（APT，即長期潛伏、多目標(biāo)滲透的網(wǎng)絡(luò)攻擊模式）的核心特征：時(shí)間跨度長（近5年）、目標(biāo)篩選精準(zhǔn)（國防研發(fā)關(guān)鍵節(jié)點(diǎn)人員）、社會工程手段成熟（身份偽造+信任利用）。

NASA監(jiān)察長辦公室特別指出，嫌疑人使用的Gmail賬戶偽裝成"一名曾與NASA合作的航空航天教授"。這種身份選擇極具針對性——教授身份天然帶有學(xué)術(shù)共享的合法性，與NASA的合作經(jīng)歷則消除了目標(biāo)對陌生請求的警惕。

更關(guān)鍵的是目標(biāo)選擇：建模軟件用于"航空航天設(shè)計(jì)和武器開發(fā)"。這類軟件屬于軍民兩用技術(shù)的核心工具鏈，獲取源代碼意味著可以逆向工程、仿制或?qū)ふ衣┒?。出口管制恰恰反證了其戰(zhàn)略價(jià)值。

五年間"數(shù)十名教授、研究員和工程師"中招，說明攻擊規(guī)模遠(yuǎn)超普通網(wǎng)絡(luò)犯罪。NASA網(wǎng)絡(luò)安全與IT審計(jì)副監(jiān)察長在其2024財(cái)年網(wǎng)絡(luò)安全報(bào)告中將此列為重點(diǎn)案例，暗示其可能代表某種系統(tǒng)性操作模式。

反方：也可能是個(gè)人牟利，而非國家行為

然而，公開信息中存在模糊地帶。起訴書與調(diào)查報(bào)告均未明確提及宋吳與任何中國官方機(jī)構(gòu)的關(guān)聯(lián)，"未具名同伙"的身份同樣空白。

從獲利模式看，出口管制軟件的非法交易確實(shí)存在黑市需求。某些國防建模軟件單套授權(quán)費(fèi)用可達(dá)數(shù)十萬美元，源代碼價(jià)值更高。個(gè)人或小型團(tuán)伙完全可能為純粹經(jīng)濟(jì)利益鋌而走險(xiǎn)。

作案手法的技術(shù)含量也值得審視：Gmail偽裝、身份冒用、郵件釣魚——這些屬于入門級攻擊技術(shù)，而非通常與國家背景APT關(guān)聯(lián)的零日漏洞或供應(yīng)鏈攻擊。五年未被發(fā)現(xiàn)，更多反映的是目標(biāo)機(jī)構(gòu)內(nèi)部安全培訓(xùn)的缺失，而非攻擊者技術(shù)高超。

一個(gè)細(xì)節(jié)是：案件曝光源于NASA收到的"警報(bào)"，而非主動防御系統(tǒng)的攔截。這說明攻擊鏈的斷裂具有偶然性，而非必然被追溯。

關(guān)鍵證據(jù)：出口管制違規(guī)的"不知情"陷阱

調(diào)查報(bào)告反復(fù)強(qiáng)調(diào)受害者"unknowingly violated"（不知情地違反）出口管制。這一表述揭示了兩個(gè)層面的問題。

第一層是操作層面：國防研發(fā)人員似乎對軟件出口管制的邊界認(rèn)知模糊。建模軟件在學(xué)術(shù)合作中的日常流轉(zhuǎn)，與受控技術(shù)轉(zhuǎn)移之間的界限，在"熟人請求"的場景下被輕易跨越。

第二層是制度層面：出口管制法規(guī)的合規(guī)培訓(xùn)可能存在盲區(qū)。如果數(shù)十名分散在不同機(jī)構(gòu)的專業(yè)人員都能在類似話術(shù)下中招，說明攻擊者精準(zhǔn)利用了制度執(zhí)行中的系統(tǒng)性漏洞。

這與傳統(tǒng)間諜案的差異在于：嫌疑人不需要收買內(nèi)線或植入惡意程序，只需要復(fù)制一套"請求-共享"的學(xué)術(shù)協(xié)作話語，就能讓目標(biāo)主動交出受控資產(chǎn)。

行業(yè)鏡像：軟件供應(yīng)鏈的"人"環(huán)節(jié)

此案暴露的并非技術(shù)漏洞，而是供應(yīng)鏈安全中最難修補(bǔ)的環(huán)節(jié)——人。NASA、軍方、高校、企業(yè)構(gòu)成了復(fù)雜的國防研發(fā)網(wǎng)絡(luò)，人員流動、項(xiàng)目合作、學(xué)術(shù)交流是常態(tài)。攻擊者只需要在這個(gè)網(wǎng)絡(luò)中找到一個(gè)信任節(jié)點(diǎn)，就能橫向移動。

更具警示意義的是軟件類型：建模軟件是數(shù)字化研發(fā)的基礎(chǔ)設(shè)施。源代碼泄露不僅影響單一項(xiàng)目，還可能暴露設(shè)計(jì)方法論、性能參數(shù)、甚至下游集成系統(tǒng)的接口邏輯。

對比近期其他案件——2024年Supermicro三名員工被控走私英偉達(dá)H100/H200/B200芯片的25億美元方案，或同一時(shí)期中國軍事數(shù)據(jù)泄露的10PB規(guī)模宣稱——宋吳案的價(jià)值在于揭示了"低技術(shù)、高回報(bào)"的滲透路徑。不需要突破防火墻，只需要突破人的判斷。

我的判斷：模式比個(gè)案更重要

回到NASA監(jiān)察長那句「這不是孤立事件」——這句話的語境值得推敲。它可能指向宋吳案本身的持續(xù)性（五年、多機(jī)構(gòu)、多同伙），也可能暗示調(diào)查人員發(fā)現(xiàn)了類似手法的其他未公開案件。

從可驗(yàn)證信息看，此案的核心教訓(xùn)在于：國防技術(shù)保護(hù)的傳統(tǒng)邊界（機(jī)構(gòu)防火墻、網(wǎng)絡(luò)隔離、訪問控制）在學(xué)術(shù)-工業(yè)-政府的協(xié)作生態(tài)中正在被侵蝕。建模軟件、仿真工具、設(shè)計(jì)平臺——這些"生產(chǎn)力工具"的共享需求，與出口管制的合規(guī)要求之間存在張力。

攻擊者選擇的不是最難的目標(biāo)，而是最"自然"的交互場景。五年未被發(fā)現(xiàn)，不是因?yàn)殡[蔽性高，而是因?yàn)樾袨槟Ｊ脚c正常業(yè)務(wù)流高度重合。

對于科技從業(yè)者而言，此案的價(jià)值在于重新校準(zhǔn)對"敏感資產(chǎn)"的定義。源代碼、設(shè)計(jì)文件、仿真模型——這些數(shù)字資產(chǎn)的價(jià)值不僅在于內(nèi)容本身，還在于其嵌入的工作流和信任網(wǎng)絡(luò)。保護(hù)它們需要的不只是技術(shù)控制，更是對協(xié)作邊界的持續(xù)審視。

NASA的警報(bào)最終觸發(fā)了調(diào)查，但警報(bào)本身來自何處？是某個(gè)受害者的事后報(bào)告，還是Gmail賬戶的異常檢測？報(bào)告未明說。這個(gè)信息缺口恰恰說明：在人與軟件的交互界面，防御方的可見性可能遠(yuǎn)低于攻擊方。

當(dāng)國防軟件的保護(hù)依賴于每個(gè)工程師對"同事"郵件的獨(dú)立判斷時(shí)，系統(tǒng)性的脆弱就已經(jīng)存在。宋吳案的意義，或許在于讓這個(gè)長期被忽視的結(jié)構(gòu)性問題進(jìn)入了監(jiān)管視野。

出口管制法規(guī)會因此修訂嗎？學(xué)術(shù)合作的安全審查會收緊嗎？還是會出現(xiàn)新的技術(shù)解決方案，在不影響協(xié)作效率的前提下標(biāo)記異常請求？這些問題的答案，將決定類似"熟人釣魚"模式的成本曲線——是繼續(xù)低廉易行，還是逐漸被壓縮空間。