从PGP到Mythos：出口管制为何从未真正阻止技术扩散

一场持续30年的"猫鼠游戏"

当Anthropic推出网络安全专用模型Mythos，并围绕它建立严格的出口管制和访问限制时，一个老问题再次浮出水面：对网络安全相关软件的出口管制，真的能阻止技术扩散吗？

回顾过去30年的历史，答案几乎是一致的——不能。从PGP加密软件到各类网络安全工具，每一次试图通过出口管制限制技术流动的尝试，最终都被证明收效甚微。如今，同样的逻辑正在AI网络安全模型上重演。

PGP事件：出口管制荒诞史的起点

一本书击穿了管制壁垒

1991年，Phil Zimmermann发布了PGP（Pretty Good Privacy）加密软件，让普通人也能使用军事级别的加密技术。PGP采用的是公钥加密体系，巧妙地结合了RSA非对称加密算法和IDEA对称加密算法，使得任何人都可以在不预先交换密钥的情况下进行端到端加密通信。在PGP出现之前，这种级别的加密技术仅限于军事和情报机构使用。美国政府随即以违反武器出口管制法（ITAR）为由展开调查，因为强加密在当时被归类为"军需品"——根据《国际武器贸易条例》，密钥长度超过40位的加密产品与导弹、坦克同列于军需品清单。Zimmermann最初将PGP上传至互联网BBS，本意是为人权活动者提供通信保护工具，却因此面临长达三年的联邦刑事调查。

然而，管制的荒谬性很快暴露无遗。PGP的完整源代码被印刷成书籍出版——而书籍受美国宪法第一修正案保护，不受出口管制约束。就这样，一项被视为"武器"的技术，以纸质书的形式合法流向全球，任何人只需扫描书页就能重建整套软件。1996年，美国政府不得不撤销了对Zimmermann的调查。

加密战争留下的深刻教训

这场被称为"加密战争"（Crypto Wars）的对峙贯穿了整个1990年代。美国政府试图推广内置后门的Clipper芯片——这是美国国家安全局（NSA）于1993年开发的加密芯片，其核心设计是"密钥托管"（key escrow）机制：加密密钥的副本由政府指定的两个独立机构分别保管，执法部门在获得法院授权后可以组合这两个密钥副本来解密通信内容。这一方案遭到了密码学界的猛烈抨击。1994年，AT&T贝尔实验室的研究员Matt Blaze发现了Clipper芯片协议中的严重安全漏洞，使得用户可以绕过密钥托管机制，从技术层面宣告了该方案的破产。

与此同时，政府还试图限制浏览器加密强度在40位以内，甚至将加密算法的出口等同于武器出口。但最终，市场需求和技术演进碾压了所有管制意图。到2000年，美国大幅放松了加密产品的出口限制，事实上承认了管制策略的失败。

瓦森纳协定与漏洞工具：管制范围的扩张与失效

从常规武器到"入侵软件"

瓦森纳协定（Wassenaar Arrangement）是冷战后建立的多边出口管制框架，最初针对常规武器和军民两用技术。该协定成立于1996年，总部设在维也纳，目前有42个参与国，是冷战时期"巴黎统筹委员会"（COCOM）的继承机制。与COCOM针对特定国家集团的封锁策略不同，瓦森纳协定要求成员国对军民两用技术和常规武器的出口实施自主管控，维护着"军品清单"和"两用物项与技术清单"两份关键清单。

2013年，该协定将"入侵软件"（intrusion software）纳入管制范围，试图限制网络攻击工具的跨境流动。其技术定义包括"能够规避计算机或网络设备防护措施的软件"以及"能够从计算机或网络设备中提取数据的软件"。

这一决定立即引发了网络安全行业的强烈反弹。安全研究人员指出，"入侵软件"的定义过于宽泛，几乎涵盖了所有渗透测试工具和漏洞研究成果。Metasploit、Nmap等广泛使用的开源安全工具，在技术定义上都可能落入管制范围。Metasploit Framework是由HD Moore于2003年创建的开源渗透测试框架，目前由Rapid7公司维护，拥有超过2000个已记录的漏洞利用模块，是全球安全从业者进行授权渗透测试的标准工具。Nmap则是网络扫描和安全评估的基础设施级工具。这两款工具的源代码完全公开，托管在GitHub等平台上，全球任何人都可以自由下载、修改和分发。试图对这类已经广泛传播的开源工具实施出口管制，在执行层面几乎不可能实现。更关键的问题在于，管制实际上形同虚设。

商业间谍软件照样全球扩散

话说回来，NSO Group的Pegasus、Hacking Team的远程控制系统等商业间谍软件，在出口管制的名义下依然流向了全球数十个国家，其中不乏多个威权政权。NSO Group是一家以色列网络情报公司，其旗舰产品Pegasus能够在不需要用户交互的情况下（即"零点击"攻击）远程入侵iPhone和Android设备，获取包括加密消息、通话记录、位置信息在内的几乎所有数据。2021年，由17家媒体组成的调查联盟"Pegasus项目"揭露了超过50,000个潜在监控目标的电话号码，涉及记者、人权活动者、政治人物等。Hacking Team则是一家意大利公司，2015年遭黑客入侵后泄露的400GB内部数据显示，其客户包括苏丹、埃塞俄比亚等多个被指控严重侵犯人权的国家政府。尽管以色列和意大利都是瓦森纳协定的参与国，这些商业间谍软件的出口仍然畅通无阻，直到美国商务部在2021年将NSO Group列入实体清单才产生了实质性影响。

这些案例充分说明：出口管制不仅未能阻止恶意工具的扩散，反而给合法的安全研究设置了不必要的障碍。

Mythos与AI时代的管制困境

Anthropic的网络安全AI模型面临同样悖论

Anthropic推出的Mythos是一款专门针对网络安全场景优化的AI模型，具备漏洞分析、威胁检测等能力。鉴于其潜在的攻防双重用途，围绕该模型的访问控制和出口限制成为业界焦点。

然而，历史教训清晰地表明，试图通过管制手段限制AI网络安全能力的扩散，面临着与30年前相同的根本性矛盾：

知识的不可逆传播：一旦核心技术原理公开，管制就失去了基础。截至2025年，开源大语言模型生态已经高度成熟——Meta的Llama系列、Mistral AI的模型、以及众多社区微调版本都可以自由获取。网络安全相关的AI能力并非某种不可复现的"黑科技"，它本质上是将大语言模型在安全领域的专业数据上进行微调（fine-tuning）的结果。公开的漏洞数据库（如CVE、NVD）、安全研究论文、渗透测试报告等训练数据广泛可得，这意味着任何具备足够计算资源的团队都可以独立训练出具有类似网络安全能力的AI模型。管制一个特定的模型产品，无法阻止底层能力的独立再现。
防御与攻击的不可分割性：网络安全领域的攻防工具本质上是同一枚硬币的两面。限制防御工具的流通，往往同时削弱了被保护方的安全能力。
全球化的研究生态：网络安全研究是高度国际化的领域，人才和知识的跨境流动远非行政命令所能阻断。

出口管制的真正代价不容忽视

更值得警惕的是出口管制带来的"副作用"。过度管制可能导致：合法安全研究者的工作受阻，防御方获取先进工具的渠道被切断，而真正的恶意行为者——国家级黑客组织和网络犯罪集团——从来不会因为一纸禁令而停下脚步。

我们需要什么样的治理框架

30年的历史反复证明，对网络安全技术的出口管制在阻止技术扩散方面几乎完全无效。从PGP到Mythos，变化的只是技术载体——从加密算法到AI模型——而管制失效的底层逻辑从未改变。

这并不意味着AI网络安全能力不需要治理。恰恰相反，我们需要更加务实的治理框架：关注使用行为而非技术本身，建立国际合作的威胁情报共享机制，以及确保防御方始终能够获取最先进的安全工具。这一思路在其他领域已有先例，也在网络安全领域有着坚实的法律基础。2001年生效的《布达佩斯网络犯罪公约》就采用了基于行为的治理逻辑——它不禁止安全工具的持有和传播，而是将未经授权的计算机系统访问、数据窃取等行为定义为犯罪。将这一范式扩展到AI网络安全工具领域，意味着应当建立清晰的"红线"行为定义、完善的归因和追责机制，以及国际间的执法合作框架，而非试图在源头封锁技术流动。

继续沿用已被证明失败的出口管制思路，不仅无法解决问题，还可能在AI安全的关键时期制造新的风险。