从被动防御到主动破坏：大型科技公司网络安全战略转型及其全球影响深度报告
执行摘要 (Executive Summary)
本报告深入剖析了全球大型科技公司（以谷歌和微软为首）正在引领的一场根本性网络安全战略转型——从传统的“检测-响应”被动防御模式，向融合技术、法律与情报能力的“识别-瓦解-破坏”主动安全范式演进。这一转型不仅是技术层面的升级，更是一场地缘政治、法律与商业模式的深刻变革。
核心发现与关键论点：
- 范式转变：科技巨头正从构建“数字堡垒”的被动防御者，转变为主动“前出狩猎”、旨在系统性瓦解攻击者基础设施和运营能力的“网络空间秩序维护者”。微软数字犯罪部门（DCU）的长期实践和谷歌网络“破坏部门”的成立，是这一转型的标志性事件。
- 核心驱动力：此转型由三大核心能力驱动——全球威胁情报网络、强大的法务与政策能力以及对全球互联网基础设施的控制与影响力。这些能力共同构成了科技巨头在主动威慑领域无可比拟的“不对称优势”。
- 多重影响：
- 对企业：重塑了风险管理模型，企业从孤军奋战转向依赖巨头的宏观安全生态，同时也面临着复杂的跨境法律合规挑战。
- 对行业：催生了以欺骗防御、AI威胁狩猎为代表的新技术赛道，推动安全厂商从“工具商”向“主动威慑服务伙伴”演变，并加剧了以云平台为核心的“安全即平台”市场整合趋势。
- 对全球格局：模糊了战争与和平、企业与国家的界限，科技巨头成为中美技术对抗中的“代理人”和新变量，其跨境破坏行动正深刻挑战着以主权为基础的传统国际法体系。
最终结论： 大型科技公司引领的主动破坏战略，正将全球网络空间推入一个攻防更激烈、规则更模糊、风险更复杂的全新时代。虽然在短期内有效遏制了部分大规模网络犯罪，但其长远发展也带来了冲突升级、主权侵蚀和“数字丛林法则”的隐忧。在享受其带来的安全效益的同时，国际社会亟需就“负责任的主动防御”建立新的行为规范和治理框架，以在维护网络安全与全球稳定之间寻求关键平衡。
引言 (Introduction)
在全球数字化进程不断加深的背景下，网络安全已从一个技术议题上升为企业生存和国家安全的核心。然而，面对日益产业化、国家化的网络攻击，传统的被动防御战略——即构建坚固的数字边界，在攻击发生后进行检测和响应——已显得力不从心。攻击者总能找到防御体系中最薄弱的一环，使得防御方永远处于追赶和补救的被动地位。
在这一背景下，以谷歌（Google）和微软（Microsoft）为代表的全球大型科技公司，凭借其无可比拟的技术实力、全球威胁情报网络和法律资源，开始引领一场深刻的战略转型。它们不再满足于被动地“封堵漏洞”和“清除病毒”，而是转向一种更具攻击性的主动安全范式：在威胁造成大规模损害之前，主动识别、干预、瓦解甚至**破坏（Disruption）**攻击者的基础设施和运营能力。这一从“被动防御”到“主动破坏”的转型，构成了本报告的核心研究议题。
本报告旨在深入、全面地分析这一战略转型所带来的多维度影响，其目标、范围与结构如下：
- 报告目标：揭示大型科技公司主动网络安全战略的内在逻辑、实践模式及其对企业、行业和国际关系产生的深远影响，并对未来的发展趋势与挑战进行前瞻性展望。
- 报告范围：研究将聚焦于以谷歌和微软为代表的全球顶尖科技公司，分析其在打击僵尸网络、对抗国家级APT攻击等方面的标志性行动，并探讨这一趋势对企业风险管理、网络安全产业生态以及中美网络博弈等地缘政治格局的连锁反应。
- 报告结构：
- 第一部分：分析此战略转型对企业网络安全风险管理领域的范式重塑。
- 第二部分：探讨其对网络安全行业技术创新、市场格局和厂商角色的深刻影响。
- 第三部分：从宏观视角剖析其对全球网络空间安全格局及国际关系的挑战与重构。
通过对这三个层面的系统性分析，本报告致力于为政策制定者、企业决策者和行业观察家提供一个关于未来网络安全攻防格局的全面、深入的战略蓝图。
第一部分：对企业网络安全风险管理的影响
大型科技公司从被动防御向主动破坏的战略转型，正在从根本上重塑企业网络安全风险管理的范式。这一转变不仅要求企业重新评估威胁模型和能力配置，更将其卷入复杂的法律、伦理与地缘政治博弈之中。
1.1. 战略范式转变：从“被动堡垒”到“主动出击”
传统的企业网络安全理念根植于“堡垒模式”（Fortress Mentality），即通过构建层层防御（防火墙、入侵检测系统等）来保护数字资产的边界，其核心是事件驱动的被动响应。然而，随着攻击手段的日益复杂化和国家级攻击的常态化，这种模式的局限性愈发凸显：它永远在追赶攻击者，无法根除威胁源头，导致防御成本和风险持续攀升。
1.1.1. 理论演变
新范式转向“主动出击”，其核心思想借鉴了军事领域的“前出狩猎”（Hunt Forward）和“防御前置”（Defend Forward）理念。其目标不再是单纯地阻止单次入侵，而是通过主动识别、干预并瓦解攻击者的基础设施和运营能力，系统性地提升攻击者的行动成本与风险，从而降低其攻击投资回报率（ROI），实现“不战而屈人之兵”的威慑效果。
1.1.2. 战略实践的先行者：微软数字犯罪部门 (DCU)
微软的数字犯罪部门（Digital Crimes Unit, DCU）是这一战略转型的先驱。自2008年成立以来，DCU开创性地融合了技术、法律和公私合作（Public-Private Partnership）手段，其使命并非被动防御，而是主动瓦解与威慑 (Disrupt & Deter)。
- 核心战术：DCU利用微软庞大的全球威胁情报网络，识别网络犯罪基础设施（如僵尸网络的C2服务器），随后通过民事诉讼等法律手段获取法院命令，合法地查封和摧毁这些设施。
- 标志性行动：DCU已成功主导或参与瓦解了包括Necurs、Citadel在内的多个大型僵尸网络。更重要的是，它已将此模式作为打击俄罗斯、中国、伊朗等国家支持的威胁行为者的标准战术，彰显了其行动的战略高度。
1.1.3. 战略升级的标志：谷歌网络“破坏部门”
如果说微软DCU是长期的探索者，那么谷歌在2025年8月宣布成立网络“破坏部门”（Cyber Disruption Unit）则标志着这一战略已成为科技巨头的共识和核心能力。
- 成立动因：旨在寻求“合法且道德的破坏”选项，在恶意软件和网络攻击造成大规模损害前将其瓦解。
- 战略定位：这标志着私营部门从网络安全的被动防御者，正式转变为积极参与者和规则塑造者。此举与美国政府的“前出狩猎”（Hunt Forward）国家战略在思想和行动上高度协同，形成了事实上的“一体化威慑”新形态。
1.2. 核心能力的演进：威胁情报驱动的攻防一体化
战略的转变推动了企业核心安全能力的深刻演进，从分离的攻防能力走向以威胁情报为中枢的一体化作战体系。
1.2.1. 威胁情报的角色转变
在传统模式下，威胁情报（Threat Intelligence）主要作为一种输入，用于生成告警（如提供IOCs）。而在新范式下，威胁情报的角色发生了根本性转变：
威胁情报从“告警系统”转变为驱动行动的“作战引擎”。
它不仅用于识别威胁，更用于支撑对攻击者的深度画像、基础设施追踪，并最终为法律诉讼和技术反制等“破坏”行动提供决策依据和证据链。例如，微软正是利用其威胁情报分析中心（MSTIC）的分析成果，才得以精准定位并向法院申请查封与特定攻击团伙关联的恶意域名。
1.2.2. 攻防演练与实战化：从内部对抗到真实世界干预
传统的内部红蓝对抗虽然能提升防御能力，但其终究是模拟环境。主动破坏战略将攻防演练推向了实战。企业不再满足于内部演习，而是直接干预真实世界中的威胁行为者。
僵尸网络拆解 (Botnet Takedown) 是最具代表性的实战案例：
| 案例分析 | 行动主体 | 目标 | 关键手段与影响 |
|---|---|---|---|
| Google vs. BADBOX 2.0 | 谷歌威胁分析小组 (TAG) | 感染超千万台安卓设备的BADBOX 2.0僵尸网络，其运营者被指为中国犯罪团伙。 | 法律与技术结合的典范：谷歌在纽约联邦法院对25个实体提起诉讼，获得法院强制令，迫使全球范围内的ISP和域名注册商协助拆除该僵尸网络的基础设施。这是典型的“网络破坏”实战，直接摧毁了犯罪团伙的运营能力。 |
| Microsoft vs. Citadel/Necurs | 微软DCU | 全球最大的僵尸网络之一Citadel和Necurs。 | 公私合作的标杆：微软与FBI及多国执法机构紧密合作，通过技术手段切断僵尸网络通信，并利用法律武器控制其关键节点，最终成功瓦解了这些庞大的犯罪网络，保护了全球数百万用户。 |
1.3. 法律合规与责任的重塑：以法律为剑，亦受法律所困
主动破坏战略将企业推向了一个充满机遇但同样遍布风险的法律灰色地带。企业必须学会将法律作为进攻性武器，同时也要应对其带来的复杂合规挑战与责任界定问题。
1.3.1. 法律工具的进攻性应用
科技巨头的实践表明，民事诉讼已成为实施“合法破坏”的核心武器。通过向法院申请临时限制令（TRO）或初步禁令，企业可以在法律授权下，合法地中断攻击者的基础设施（如域名、服务器），这与非法的“黑客反击”（Hack Back）划清了界限。谷歌对BADBOX团伙的诉讼就是通过美国法律体系，对位于中国境内的网络犯罪基础设施实现了“长臂管辖”。
1.3.2. “主动防御”的法律边界与风险
尽管有法律工具加持，但“主动破坏”的边界依然模糊，潜藏巨大风险：
- 界限模糊性：在技术上，瓦解一个僵尸网络的C2服务器与一次DDoS攻击可能使用相似技术。如何界定“防御性破坏”与“进攻性攻击”成为国际法上的巨大难题。
- 附带损害与责任：在破坏行动中，如果对无辜的第三方造成损害（Collateral Damage），行动发起方（企业）可能面临难以预估的法律诉讼和赔偿责任。
- “私掠许可证”争议：美国国会曾提出的《网络犯罪标记和报复授权法案》等立法尝试，旨在为私营部门的跨境网络反制行动提供合法性。然而，这引发了关于催生“数字私掠船”、侵犯他国主权和导致冲突升级的激烈伦理与法律争议。
1.3.3. 全球化运营的合规困境：中美法律对抗的缩影
对于在中国等国家拥有大规模业务的跨国科技公司而言，主动安全战略使其陷入了前所未有的合规两难。
- 中国的法律要求：中国《网络安全法》等法规明确规定，网络运营者有义务协助政府进行“维护国家安全和侦查犯罪”的活动。这可能包括提交数据、解密信息甚至提供系统后门。
- 两难处境：如果一家美国公司遵守中国法律，向中国当局提供了某些数据，它可能违反美国的法律、商业道德，甚至面临如“雅虎案”一般在本国的巨额诉讼和声誉危机。反之，若不遵守，则可能被逐出中国市场。
这种法律和主权的冲突，使得企业的主动安全行动不仅是技术决策，更成为在地缘政治棋盘上每一步都需小心权衡的战略抉择。
第二部分：对网络安全行业的影响
大型科技公司从被动防御向主动破坏的战略转型，如同一场“板块构造运动”，不仅改变了企业自身的安全地貌，更对整个网络安全产业的生态、技术走向和市场格局产生了深刻而持久的冲击。这一转型正在催生新的技术赛道，重塑安全厂商的角色，并加剧市场竞争的马太效应。
2.1. 技术与产品创新的浪潮：主动防御工具的兴起
战略思想的转变是技术创新的最强催化剂。当目标从“被动拦截”转向“主动干扰、威慑和瓦解”时，安全行业的技术栈和产品形态必然随之演进。这一转变正驱动着一波以主动性为核心的创新浪潮。
2.1.1. 从被动防御到主动干扰的技术演进
传统安全工具（如防火墙、WAF、IDS）的核心逻辑是“识别并阻断”，它们是被动的“哨兵”。而新一代工具的设计理念是主动出击，成为能够迷惑、迟滞、诱捕和反制攻击者的“猎人”。
核心驱动力：不再满足于降低攻击成功率，而是致力于系统性地增加攻击者的行动成本（时间、资源、人力）和暴露风险，从而从根本上削弱其攻击意愿和能力。
这一理念催生了以下几类关键技术和产品的兴起：
欺骗防御技术 (Deception Technology)：
- 演进路径：从传统的、等待攻击者触发的“被动蜜罐”，演进为能够模拟真实业务、动态交互并主动散布虚假凭证和路径的“主动蜜罐”和“欺骗平台”。
- 战略价值：这些技术不再是简单的陷阱，而是变成了主动的情报收集和攻击者行为分析平台。通过诱捕攻击者，安全团队可以深入研究其TTPs（战术、技术和程序），并对真实环境进行加固，甚至进行溯源反制。
自动化攻击面管理与干扰 (Automated ASM & Disruption)：
- 攻击面管理 (ASM)：工具从攻击者的视角出发，自动化、持续性地发现和评估企业暴露在互联网上的所有资产（已知的和未知的），在攻击者利用之前识别风险。
- 主动干扰：更进一步的技术能够对早期侦察行为进行主动干扰，例如向扫描器返回大量虚假但看似有效的信息，淹没攻击者的情报收集渠道，实现“致盲”效果。
AI驱动的威胁狩猎平台 (AI-Powered Threat Hunting)：
- 能力跃升：面对海量数据，人工智能（AI）成为实现主动狩猎规模化的唯一途径。微软每日分析超过78万亿个安全信号，谷歌将Gemini AI融入安全实践，这些都非人力可及。
- 核心应用：AI能够自动识别异常行为模式、关联零散的攻击活动、预测攻击者的下一步行动，并自动生成狩猎查询，将威胁分析师从繁重的低级分析中解放出来，专注于高价值的决策和行动。
2.2. 安全厂商角色演变：从“工具商”到“主动威慑服务伙伴”
随着技术栈的演变，安全厂商的商业模式和市场角色也正在经历深刻的重塑。单纯提供“工具箱”的模式已无法满足客户在主动威慑时代的需求，厂商必须向提供一体化、持续性服务的战略伙伴转型。
2.2.1. 服务模式的深化：“破坏即服务”的雏形
安全服务的边界正在模糊化。传统MSSP（托管安全服务提供商）主要提供监控和告警服务，而新一代的服务商则深度介入客户的威胁响应和反制行动。
- 从MDR到MXDR：托管检测与响应（MDR）服务正在向扩展检测与响应（MXDR）演进，整合来自端点、网络、云、身份等多个维度的数据，提供更全面的威胁可见性。
- 一体化行动支持：更重要的是，领先的服务商开始提供包含法律支持、情报分析、溯源取证和行动执行的一体化“破坏服务”。这意味着，当发现威胁时，服务商不仅是告警者，更是与客户并肩作战的行动伙伴，能够协助客户执行合法的反制与破坏行动。
2.2.2. 公私合作（PPP）的关键枢纽
在谷歌和微软的示范下，顶尖的安全公司正成为连接政府执法力量与全球互联网基础设施的关键枢纽。它们利用自身的技术和情报优势，为执法部门（如FBI）的行动提供关键支持，同时协调全球的ISP、域名注册商等基础设施提供商执行法院命令。这种独特的“中间人”角色，使得这些公司从单纯的商业实体，转变为网络空间治理中不可或缺的准公共行动体。
2.3. 市场竞争格局的重构：巨头阴影下的生存法则
大型科技公司凭借其无可比拟的优势，在主动威慑这一新赛道上建立了极高的竞争壁垒，对传统中小型安全厂商构成了“降维打击”，深刻地改变了市场竞争的底层逻辑。
2.3.1. 科技巨头的不对称优势
谷歌、微软等巨头在主动破坏领域拥有中小厂商难以企及的“三位一体”优势：
| 优势维度 | 具体表现 | 对比中小厂商的劣势 |
|---|---|---|
| 全球威胁情报网络 | 旗下拥有全球最大的操作系统（Windows, Android）、搜索引擎、云平台（Azure, GCP）和生产力套件（Office 365），使其能够从源头获取最广泛、最及时的威胁情报。 | 情报来源有限，多依赖二手数据或有限的客户探针，在广度和深度上存在天然差距。 |
| 强大的法务与政策能力 | 拥有经验丰富的全球法务团队，能够发起并赢得如BADBOX案这样的复杂跨国诉讼。同时，其强大的政府关系团队能影响政策和立法。 | 缺乏进行大规模、跨国法律行动的资源和经验，法律成本高昂且风险不可控。 |
| 基础设施控制与影响力 | 作为全球最大的云服务商和基础设施提供商之一，它们能够直接、快速地在其平台上执行封禁和清理行动，并能有力地影响全球其他ISP和注册商。 | 只是基础设施的“租户”，需要通过请求或合作才能推动基础设施层面的行动，响应速度和执行力受限。 |
2.3.2. 市场分化与“安全即平台”趋势
巨头的入场正导致网络安全市场急剧分化：
“安全即平台”趋势加剧：科技巨头正将主动防御能力深度整合至其云平台和核心产品中（如Microsoft Sentinel, Google SecOps）。安全不再是外挂的附加功能，而已成为平台的核心竞争力之一。这使得选择云平台在很大程度上等同于选择了其背后的整个安全生态，从而挤压了独立第三方工具的市场空间。
中小厂商的生存挑战与机遇：面对巨头的“一体化”攻势，传统的中小安全厂商若继续在通用市场竞争，将面临巨大压力。其未来的生存之道在于：
- 深耕垂直领域：专注于特定行业（如工业控制/OT安全、车联网安全、医疗设备安全）的深度解决方案，在巨头尚未覆盖的细分市场建立专业壁垒。
- 成为生态补充者：开发能够与巨头平台（如Azure, GCP）无缝集成、提供特定增强功能的小工具或服务，成为其生态系统的一部分。
- 聚焦高端专业服务：专注于提供高度专业化、人力密集型的服务，如顶级事件响应、红队演练、逆向工程和地缘政治风险咨询，这些是巨头平台难以完全自动化的领域。
总之，大型科技公司引领的主动破坏战略转型，正在将网络安全行业推入一个技术更快、角色更模糊、竞争更激烈的全新时代。
第三部分：对全球网络空间安全格局与国际关系的影响
大型科技公司从被动防御向主动破坏的战略转型，其影响已远远超出了企业风险管理和安全产业的范畴。如前两部分所述，这一转型不仅重塑了风险处置的范式和产业生态，更作为一股强大的结构性力量，深刻地改变着全球网络空间的安全地貌、大国博弈的规则以及国际关系的未来走向。本部分将深入剖析这一转型在宏观战略层面引发的三重连锁反应。
3.1. 攻防一体化竞争：模糊战争与和平的界限
科技巨头的主动破坏战略，正将全球网络空间推入一个攻防界限日益模糊的新竞争阶段。这不仅改变了冲突的形态，也带来了前所未有的升级风险与治理难题。
3.1.1. 私营部门的“准军事化”
以往由国家情报机构或军事单位主导的网络反制（Counter-Cyber Operations）和威慑行动，正越来越多地由科技公司执行。谷歌成立网络“破坏部门”、微软数字犯罪部门（DCU）系统性地瓦解与国家行为体关联的网络设施，这些行动标志着私营部门角色的根本性转变。
它们不再仅仅是网络空间的“基础设施建设者”或“规则遵守者”，而是凭借其全球情报网络、技术能力和法律武器，成为了能够主动塑造安全态势、甚至执行“准执法”行动的“数字治安官”。
这种角色的转变，极大地模糊了企业行为与国家行动的界限。当谷歌或微软的行动与美国政府的“前出狩猎”（Hunt Forward）和“一体化威慑”战略在目标和效果上高度协同，它们实际上成为了国家网络力量的延伸，一种新型的公私合作（PPP）战争形态正在形成。
3.1.2. 升级风险与归因难题
“主动破坏”是一把双刃剑。虽然旨在瓦解威胁，但其行动在技术上与网络攻击仅一步之遥。这种模糊性带来了两大核心风险：
- 信号传递失真与误判升级：私营公司的破坏行动，其政治信号是模糊的。被攻击方很难判断这究竟是单纯的企业自卫，还是其母国政府支持的代理人攻击。这种归因上的不确定性极易导致战略误判和报复升级，使局部冲突螺旋式上升为国家间的直接对抗。
- 威慑的悖论：如安全报告所指出的，进攻性网络行动的隐蔽性使其难以传递清晰的威慑信号。若要明确威慑意图，国家往往需要通过官方声明来“认领”或解释私营部门的行动，但这又会暴露自身的情报能力和行动意图，陷入两难。
3.1.3. “丛林法则”的隐忧
随着更多拥有强大技术实力的公司效仿这一模式，若缺乏明确的国际法规范和行为准则，网络空间可能加速滑向一个“实力即正义”的“数字丛林”。在这种环境下，网络冲突的门槛降低，但失控的风险却急剧升高，全球网络空间的整体稳定性面临严峻威胁。
3.2. 中美技术对抗新维度：科技巨头成为地缘政治棋子
在日益激烈的中美地缘政治与技术竞争中，大型科技公司的主动威慑能力正成为一个新的关键变量和对抗焦点。
3.2.1. 美国科技巨头：国家战略的“代理人”与“赋能者”
美国科技巨头的“主动破坏”行动，在客观上已成为美国对华技术与安全战略的一部分。
- 谷歌拆解BADBOX僵尸网络：此案中，谷歌通过美国法院体系，对被指控位于中国境内的25个实体运营的基础设施进行了成功的跨境瓦解。这不仅是一次打击网络犯罪的行动，更是一次利用美国法律体系和技术优势对中国境内目标进行“长臂管辖”的实力展示。
- 微软DCU针对国家行为体：微软在其报告中明确将中国列为主要国家级威胁来源之一，并持续通过技术和法律手段对其相关活动进行打击。
这些行动与美国政府“防御前置”的国家安全战略高度契合，科技巨头凭借其非国家行为体的身份，为美国提供了一种灵活、低政治敏感度且难以被直接归咎于国家的非对称竞争优势。
3.2.2. 中国的法律与战略反制
面对美国科技巨头咄咄逼人的态势，中国则通过强化国内法律框架和国家主导的安全体系，构建了一套截然不同的应对模式。
- 以法律构建“数据主权”壁垒：2017年生效的中国《网络安全法》及其后续法规，赋予了国家安全部（MSS）等机构前所未有的权力。通过“国家安全审查”和对“关键信息基础设施”的严格定义，该法律体系迫使在华运营的外国公司面临一个严峻选择：要么向中国当局提供其专有技术、源代码或敏感数据以换取市场准入，要么被排除在中国市场之外。
- 强制合作与情报优势：法律规定网络运营者有义务“协助维护国家安全和侦查犯罪”，这为中国政府获取外国公司数据提供了法律依据。同时，由国家安全部运营的国家信息安全漏洞数据库（CNNVD）可能优先服务于国家情报活动，而非全球通用的透明化漏洞披露，从而形成信息优势。
中美网络空间公私协同模式对比
| 维度 | 美国模式 (自下而上，公私协同) | 中国模式 (自上而下，国家主导) |
|---|---|---|
| 核心逻辑 | 政府赋能并与私营部门合作，鼓励企业主动出击，将战场推向外部。 | 国家通过法律强制和行政手段，将所有网络运营者（含外企）纳入国家安全体系。 |
| 私营部门角色 | 积极的“行动伙伴”和“代理人”，在全球范围内执行主动破坏行动。 | 被动的“责任主体”和“协助者”，必须遵守国家指令，配合安全审查和调查。 |
| 法律工具 | 利用民事诉讼等法律手段获取授权，实现对境外目标的“合法”打击。 | 利用国内法（如《网络安全法》）作为防御工具和对等施压手段。 |
| 战略目标 | 进攻性威慑：瓦解外部威胁源头，维护美国主导的全球网络秩序。 | 防御性主权：强化对境内数据和网络基础设施的绝对控制，防范外部干预。 |
3.3. 国际规则与治理挑战：现有框架的失效
科技巨头的跨境破坏行动，正以前所未有的方式冲击着以主权国家为基础的传统国际法体系，迫使国际社会必须重新审视和定义网络空间的基本规则。
3.3.1. 对主权原则的根本性挑战
当一家总部位于加州的私营公司，能够依据纽约法院的一纸判决，指挥全球的互联网服务商（ISP）切断位于另一个主权国家境内的服务器时，我们所熟知的威斯特伐利亚主权体系正在其最薄弱的环节——网络空间——被侵蚀和重塑。
这种绕过国家间外交和司法协助渠道的单边行动，直接挑战了国家对其领土内信息基础设施的专属管辖权，引发了关于“网络主权”边界的激烈辩论。
3.3.2. “网络自卫权”定义的紧迫性
《联合国宪章》承认国家拥有自卫权，但这一权利是否以及如何适用于网络空间，尤其是能否由非国家行为体（如企业）行使，至今仍是国际法中的巨大空白。
- 界限何在？：“主动防御”与构成“武力使用”（Use of Force）的“网络攻击”之间的界限是什么？一次旨在瘫痪僵尸网络的“破坏”行动，如果造成了大规模断网，是否会跨过武装冲突的门槛？
- “私掠许可证”的争议：美国国会曾提出的《网络犯罪标记和报复授权法案》，试图为私营部门的跨境网络反制行动提供合法性。这被广泛批评为可能催生“数字私掠船”（Digital Privateers），导致网络空间冲突的商业化和无序化，严重破坏国际稳定。
3.3.3. 重构全球网络治理的未来
科技巨头事实上已成为网络空间“规则的制定者”和“秩序的执行者”，而以联合国为代表的、以国家为主体的多边治理机制显得反应迟缓、力不从心。这一现实表明，未来的全球网络治理必须：
- 明确行为边界：紧急就“负责任的国家（及非国家行为体）行为规范”达成更具约束力的共识，为“主动防御”划定清晰的法律和道义“红线”。
- 建立信任措施：在国家间，以及公私部门之间建立有效的沟通和冲突降级机制，以避免因误判引发灾难性后果。
- 吸纳多方参与：任何有效的国际网络治理框架，都不能再将大型科技公司排除在外，必须将其作为关键利益相关方纳入规则的制定与执行过程中。
总之，科技巨头引领的主动破坏战略转型，不仅是一场技术革命，更是一场地缘政治和国际法秩序的深刻变革。
结论 (Conclusion)
大型科技公司从被动防御向主动破坏的战略转型，并非一次简单的技术迭代，而是一场席卷企业、行业乃至全球地缘政治的深刻变革。本报告通过对这一转型的多维度剖析，可以得出以下核心结论：
1. 范式转型已成定局，网络空间进入“主动威慑”新时代。 由谷歌、微软等巨头引领的“主动破坏”战略，标志着网络安全的核心理念已从“亡羊补牢”式的被动响应，彻底转向了“防患于未然”的主动威慑。通过融合情报、法律和技术手段，系统性地提升攻击者成本，这一模式已被证明在应对大规模网络犯罪（如僵尸网络）方面具有显著成效。这预示着未来的网络攻防对抗将更加激烈、更具前瞻性，以AI为核心的自动化攻防军备竞赛将全面展开。
2. 科技巨头成为网络空间秩序中不可或缺的“准国家行为体”。 凭借其全球化的基础设施、无可比拟的情报优势和强大的法律能力，科技巨头已超越了传统商业实体的范畴。它们在打击网络犯罪、对抗国家级威胁中扮演了“数字治安官”的角色，成为连接政府与全球互联网生态的关键枢纽。这一角色的演变在提升全球网络安全能力的同时，也使得它们成为大国技术博弈棋盘上的关键棋子，其商业决策与行动将持续产生深远的地缘政治影响。
3. 现有国际规则严重滞后，全球网络治理面临重构挑战。 科技巨头的跨境破坏行动，正在以前所未有的方式冲击着以主权为核心的传统国际法体系。关于“网络主权”、“网络自卫权”的界定、私营部门行动的合法性等问题，已成为国际社会无法回避的紧迫议题。当前这种缺乏明确规则、依赖少数巨头单边行动维持秩序的“数字狂野西部”状态是不可持续的，它潜藏着巨大的误判和冲突升级风险。
前瞻与展望：
展望未来，我们正站在一个关键的十字路口。一方面，主动破坏战略为应对日益严峻的网络威胁提供了强有力的武器；另一方面，它也可能打开“潘多拉的魔盒”，导致网络空间冲突的无序化和常态化。
因此，所有利益相关方面临的长期挑战在于：如何在鼓励技术创新、有效遏制网络威胁的同时，为这种强大的新能力套上“法治的缰绳”。这不仅需要各国政府加快谈判，就“负责任的国家行为规范”达成共识，更需要建立一个包含科技公司、技术社群和公民社会在内的多方治理框架。唯有如此，才能在享受技术红利的同时，共同维护一个开放、稳定和安全的全球网络空间，避免其滑向“实力即正义”的数字丛林。
参考文献 (References)
- [1] 从防御到进攻：美国网络安全战略转型的深度调查报告 -
https://www.secrss.com/articles/82523 - [2] 谷歌宣布成立网络攻击部门：授权攻击或颠覆国家安全范式 -
https://www.secrss.com/articles/82458 - [3] Digital Crimes Unit -
https://www.microsoft.com/en-us/corporate-responsibility/customer-security-trust/digital-crimes-unit - [4] China's Cybersecurity Law Gives the Ministry of State Security Unprecedented New Powers Over Foreign Technology -
https://www.recordedfuture.com/research/china-cybersecurity-law - [5] Google Sues 25 Chinese Entities Over BADBOX 2.0 Botnet ... -
https://thehackernews.com/2025/07/google-sues-25-chinese-entities-over.html - [6] Google Sues Operators of 10-Million-Device Badbox 2.0 ... -
https://www.securityweek.com/google-sues-operators-of-10-million-device-badbox-2-0-botnet/ - [7] Google Cloud 安全解决方案 -
https://cloud.google.com/solutions/security?hl=zh-CN - [8] 高级安全与威胁防护 -
https://workspace.google.com/intl/zh-CN/security/threat-prevention/ - [9] 网络犯罪综合研究 (Comprehensive Study on Cybercrime) -
https://www.unodc.org/documents/organized-crime/cybercrime/Cybercrime_Study_Chinese.pdf - [10] 天启坦克？央视首公开99A坦克主动防御！同时拦截火箭弹和无人机 -
https://zhuanlan.zhihu.com/p/24728775121 - [11] 网络威胁状况分析 - Google Cloud -
https://cloud.google.com/security/resources/datasheets/cyber-threat-profile?hl=zh-CN - [12] 一种考虑信息扰动的配电网信息物理系统可靠性评估方法 -
https://patents.google.com/patent/CN115801546B/zh - [13] 谷歌科学家：目标优化不好使？今天聊聊泛化这件事儿 -
https://picture.iczhiku.com/weixin/message1635832786303.html
贡献者
pansin