把网络攻击权交到私营企业手里，是美国在2026年夏天做出的最冒险的网络安全实验。
8月12日，白宫签署了一份国家安全总统备忘录，要求司法部和国土安全部在60天内拿出一套正式方案，让经过审查的美国公司在政府监督下，对外国的网络犯罪组织实施监视和“网络效果行动”。翻译成大白话：华盛顿准备向私营企业发放“网络私掠许可证”。
这不是一个战术性的反犯罪举措。这是美国网络战略的结构性转变。
两个事件，一条逻辑线
这项政策出台的时间点，不是巧合。
就在三周前，7月22日，美国网络安全和基础设施安全局（CISA）与联邦调查局（FBI）联合发布了一份更新版安全公告，措辞罕见地严厉。公告称，与伊朗有关联的高级持续性威胁行为体正在系统性地针对美国关键基础设施中的可编程逻辑控制器（PLC）发动攻击。受影响领域涵盖供水与污水处理系统、能源设施和政府服务。
这不是理论上的警告。CISA代理主任尼克·安德森在7月30日确认，该机构“正在观察到针对水务系统PLC的威胁行为体显著增加”。联邦调查人员发现，攻击者利用互联网暴露的工业控制器，至少在某些案例中导致了监测与控制功能丧失，进而引发水压损失和洪水。明尼苏达州超过30个供水系统在同一次攻击浪潮中受到影响。
这两件事放在一起，构成了一条清晰的逻辑线：威胁已经从盗取数据升级为操纵物理世界，而美国政府认为现有的防御体系跟不上了。
白宫备忘录中直接点明了这一判断：“美国企业的创新能力在识别和破坏网络犯罪基础设施方面，历史上一直未被充分利用。”政策结论是：必须把私营部门的技术能力纳入国家力量体系。
这个框架解决了什么，又制造了什么
能力缺口是真实的
美国面临的网络威胁环境正在发生质变。
传统的分工模式是这样的：政府机构掌握进攻工具，私营企业负责防御自家网络、调查事件、向政府提供威胁情报。这个模型假设分工界限清晰，但2025年至2026年的现实已经打破了这种假设。
根据白宫备忘录援引的数据，仅2025年一年，美国人因勒索软件、网络欺诈和性勒索等网络犯罪报告的损失就超过208亿美元，FBI网络犯罪投诉中心收到的投诉超过100万件。网络犯罪团伙在多个司法管辖区之间无缝切换基础设施，利用云资源发起攻击，通过加密货币洗白收益。政府机构的速度、工程人才和遥测覆盖面，已经无法单独应对这种规模的威胁。
私营企业的优势恰恰在这里：它们拥有更广泛的网络可见性、更快的工程响应速度、更深的受害者网络触达能力。备忘录的核心逻辑——“私营部门持有数据，公共部门持有权力”——在能力层面是对的。将两者结合，可以填补政府单独行动的能力缺口。
但“私掠许可证”的代价是什么
然而，能力缺口被填补的同时，一个新问题浮出水面：如何确保私营企业不会在政府授权下做出超出控制的事？
里格尔曼的警告直指核心。这位前国会议员和情报专家认为，私营网络攻击可能引发反噬。这不是杞人忧天。网络行动不像传统执法，它有几个根本性的治理难题。
归因是概率性的，不是确定性的。网络攻击的溯源从来不是“是或否”的问题，而是“有多大概率”。当私营企业被授权对外国目标实施网络效果行动时，误判的概率不会因为政府监督而消失。一次错误归因的攻击，可能被对方政府视为美国发起的国家行为，从而触发外交升级甚至报复。
基础设施是共享的。网络犯罪组织往往利用第三国的服务器、受感染的云资源和合法的托管服务来实施攻击。当私营企业被授权“破坏”这些基础设施时，很难确保一次精准打击不会波及无辜的第三方，包括其他国家的政府网络、医疗机构或金融系统。
法律边界模糊。美国国内的《计算机欺诈和滥用法》（CFAA）长期以来明确禁止私营企业未经授权访问他人系统。新的备忘录试图通过联邦授权框架来规避这一限制，但国际法层面，一国的私营企业对他国网络系统实施攻击性行动，是否构成违反主权原则？《联合国宪章》第2条第4款关于禁止使用武力的规定，是否适用于网络空间的“效果行动”？这些问题在备忘录中并未得到回答。
先例一旦确立，就很难收回。即使这一框架最初限定在打击网络犯罪组织的狭窄范围内，但结构性的变化，即私营企业成为国家网络力量的延伸，是一种制度性变迁。当前的威胁激增过后，这个框架可能不会消失，而是会继续存在，甚至被扩展。这正是里格尔曼最深的忧虑：当私营企业习惯了“政府授权下的攻击”，当政府习惯了私营企业的进攻能力，退出机制在哪里？
历史不会重演，但韵脚相似
有评论将这一政策比作18世纪的“私掠船”制度，当时政府向私人船只发放“缉捕许可证”，授权它们攻击敌国商船。这个类比相当精准，而且揭示了一个被忽略的历史教训：私掠制度最终被1856年的《巴黎宣言》废除，原因正是私人武装舰船难以控制，常常超出授权范围，攻击中立国船只，甚至演变为海盗行为。
但当代的“网络私掠”比历史上的私掠船更复杂。网络行动的匿名性、溯源困难和全球即时扩散能力，使得监控和问责比18世纪的海上行动困难得多。
备忘录的确设置了一些防护栏：禁止造成死亡或伤害的行动，禁止达到国际法“使用武力”门槛的行动，要求参与公司缴纳至少100万美元的保证金，每次行动需事先获得政府批准。但这些措施能否在实践中有效约束私营企业的行为，在操作层面仍然存疑。
谁在推动，谁在买单
这项政策背后，还有一层更深的制度张力。
2026年3月，特朗普政府发布了新版《国家网络安全战略》，明确提出“释放私营部门”的能力来识别和破坏对手网络。同月，国会通过的《一项大而美的法案》中，为进攻性网络行动拨款10亿美元，同时削减了约12亿美元的民用防御性网络安全预算。与此同时，CISA的劳动力规模已从约3,700人缩减至约2,300人，减员超过三分之一。
换句话说，华盛顿正在做两个方向相反的操作：一方面给进攻性网络能力加杠杆，另一方面削减防御性体系的资源。这背后的逻辑是：与其筑墙，不如主动出击。但问题在于，当墙的高度在降低，而主动出击的主体又包含私营企业时，风险暴露面是在扩大还是在缩小？
成功取决于三道防线
这项政策有可能成功，如果它能够守住三道防线。
目标界定必须极其狭窄。“网络犯罪组织”的定义不能泛化。一旦范围扩大到“国家支持的威胁行为体”或“与外国政府有关联的实体”，私营企业被卷入国家间冲突的风险将急剧上升。
审批和问责机制必须实质有效。每次操作的批准不能流于形式。参与企业的行为必须可追溯、可审计、可追责。100万美元的保证金在网络安全领域不算高，一次越界操作可能造成的法律和外交成本远高于这个数字。
必须建立早期预警机制。如果第一次操作就出现误判或外溢，政策的政治可持续性将受到严重挑战。头几次操作的成功与否，将决定这个框架是走向制度化还是被紧急叫停。
对行业意味着什么
对于网络安全行业、科技公司和投资者来说，这项政策的信号意义远远大于其眼前的执行范围。
任何一个参与该计划的私营企业，都将在法律合规、国际业务、保险覆盖和品牌声誉方面面临前所未有的复杂性。一次经政府授权的“效果行动”如果外溢，受影响的第三国可能会对实施企业采取法律行动。企业的跨国客户可能重新评估合作风险。
同时，这项政策也打开了新的市场空间。能够满足政府审查标准、具备网络效果行动能力的企业，可能获得新的收入来源和战略地位。但这是一把双刃剑：今天的政府授权，可能成为明天的法律责任。
美国正在重新定义“网络战争”的参与者边界。但历史反复证明，当政府把战争工具交给私人时，最难控制的不是敌人，而是拿着工具的双手。
快报