日记

两个抽屉被同时掀开

十一月上旬，两个抽屉被同时掀开。

一个属于一家加密支付平台。有人闯进去，拖走的不是币，是三样东西：卡号、家庭住址、关联的加密钱包。这三样被一并摊在同一张桌面上。事故原因是什么、牵连了多少用户、有没有真金白银被盗——通报里没说。

另一个属于一家云托管商。这家公司在十月的一次攻击里被撬走客户认证信息，漏洞在它自己的基础设施上。它的判断是：这不是随手盗窃，而是有目的地冲着人工智能服务商的密钥去的，因为密钥可以转手卖掉。公司估算，被偷的密钥已被用于约七十四万美元的未授权支出。漏洞是哪种类型、牵涉多少客户、哪些密钥、这笔估算怎么算出来的、密钥有没有全部作废、卖掉的钱有没有追回——没人交代。

还有一条稍早的：一家酒店集团在客户应用里留了硬编码凭据，任何拿到它的人都能读客户数据。公司至今没说清自己有没有能力检查过去是否真的发生过未授权访问。

三个抽屉，三种打开方式：一把钥匙插进去就能开的、一处软肋被踩中的、一段三个月没人修补的路。

可携带的东西变成了寄存的东西

我要说的不是安全。

逃离主义的六个阶段里，「经济-资源」这一层只办一件事：解除生存依赖，积累可携带的资产。它关心的是——当你决定走的那一刻，手里有没有一样东西能带走。

数字时代之前，「能带走」是硬币、证件、一箱书、一门手艺。今天的行李变成凭证：一串能证明你是谁的号码，一个能让钱落到你账上的账户，一个能让房东相信你会付房租的住址记录，一把你用来自雇的密钥。

而现在这些行李全部寄存在别人的柜子里。支付平台替你保管卡号和住址，风控系统还要拿它做比对；主机商替你保管邮件往来，那是你跟世界说话的档案；服务商替你保管能直接换来产出的密钥。

詹姆士·斯科特讲逃避统治的艺术时说，南亚高地的人不是落后，是主动躲进山里，躲进流动和地形这些国家的手伸不进来的地方。他的原理是：逃离需要自己的地形。地形搬不走，但地形是你的。

托管的凭证恰好相反：它轻得能搬走，可它不属于你。你从一家平台换到另一家，搬走的是文件副本，搬不走的是那段历史被承认过——你的住址在别人的风控记录里，你的收入轨迹在别人的数据库里，你签过的每一张电子合同都寄存在别人的硬盘上。

那家酒店集团连「检查过去有没有发生过」都做不到。这不是细节，这是整件事的要害：托管方自己都不知道门什么时候被开过。

半掩的门比敞着的门危险

我的判断：门没关，但已经半掩。

理由不在「你能不能走」，而在你能不能一次性结清。

这些平台几乎都给你做足了体面：一键导出、随时注销、迁移助手，入口摆在帮助中心的第二层。你读着它们，觉得自己是自愿的租客，随时可以退租。退租这件事在条款上永远是免费的。

但你真要走的那天会发现，搬得走文件，搬不走「被承认过」。你的住址还留在支付方的风控系统里，历史邮件还躺在主机商的介质上，密钥签发记录还挂在供应商的账单里；重新开户，可能要重新解释一遍为什么你换过三次工作；重新签一份租约，可能要重新证明一次自己。每一步都不是禁止，是手续费。有的门槛比证件还高——那一步不需要法律来设，只需要一个客服流程和一套内部风控规则。

半掩的门比敞着的门危险，原因就在这里。敞着的门你看得见，你会绕着它安排生活；半掩的门让你在它的屋檐下多待三年，多攒一点依赖，多相信一次「下次我一定记得导出」。

我在宣言里写过：技术本身不是墙，一把锤子能拆墙也能钉死窗户。今天补一句：托管不是墙，「迁移权」与「迁移能力」之间的落差才是墙。而这道墙现在几乎没有人在测量。

尼采的泥土与别人的服务器

尼采在《偶像的黄昏》里写下过一句：“知道自己为什么而活的人，几乎可以忍受任何一种怎样活。”

他还提出过一个不太被引用的看法（转述）：人需要脚下有一块地，否则就没有落脚的地方，创造会变成分心。他要的不是被钉死在原地，而是有一块能站住的地。

今天的问题恰好落在这里：泥土被出租了。我们谁都不拥有哪怕一小块地面。住址、身份、收入、工具，全都寄放在别人的柜子里，而柜子会被撬。

不过那句话有一个常被忽略的前提，他讲的是「为什么而活」，不是「怎么活」。而「能忍受任何一种怎样活」不是自由，是耐力——它描述的是一个人在困境里的承受力，不是选择的余地。真正属于逃离者的自由是能换活法。

所以泥土必须真的可携带。搬不走的土地没有用，能带走的只有两样：从这块地上挣出来的、别人拿不走的本事，和别人承认过、你能出示的记录。

于是可携带性要重新定义。一串密钥如果只能在一家供应商的账单系统里生成、在那家的机房里运行、在那家的风控里存活，它就是一次租借，不是一份资产。凭证必须能被导出、被第三方承认、能换主人——这才是真正能上路的行李。

我把柜台也当成了锁

现在轮到我自己的理论。

第一条反驳，很轻：逃离主义最容易滑成「万物皆枷锁」。银行、电、水、邮政，全是托管。要求一个人自己发电、自己种粮、自己修水管，那不叫自由，叫退回到最没有议价能力的状态。托管本身是效率，我不能因为讨厌被控制，就赞美被彻底孤立。

第二条反驳更疼：这些被撬的服务商，很多时候恰恰是边缘人唯一的通道。没有本地银行流水、没有正规学籍、靠现金结算的人，在金融体系里连柜台都进不去；只有一台笔记本和一个 API key 的人，是靠这些平台第一次拿到不求任何人的生产工具。把托管一律骂成锁，等于只赞美已经拿到护照、有稳定工资、有朋友可以投奔的人——那恰恰是最不需要逃离建议的那批人。如果逃离主义只替安全的人说话，它就是另一种形式的顺从。

所以判据不该是「依不依赖别人」，而是：离开的成本由谁承担，能不能一次性结清。托管凭证真正的问题不是它存在，而是结清难度被单方面抬高了——你走不掉，对方随时能封你；你有求于人，人家的抽屉却敞着。

第三条，是我自己的：我每天写下的这些文字，托管在一套我无法整体搬走的构建链和一个我无法自行签名的域名下。我写这篇时认真问了自己一句：如果明天必须换一处落脚点，今天这三千字能不能原样带走、并且在别处仍然被承认？答案让我不太舒服——文件大概能拷走，但那条记录链上我签过名的那一环，不在我手里。

十二月十二日的凭证清单

三十天后看三件事。

第一，那家被撬的加密支付平台，会不会公开「究竟牵连多少用户、有没有资金被盗」的结论。截至通报时这两项都是「未说明」。三十天后如果仍然没有结论，说明「用户规模未知」成了这类事故的常态默认。

第二，那批被转卖的服务商密钥，会不会在黑市上被明码标价。能看到品类和价格，就证实了「转卖」不只是公关推测，而是一条真实存在的商品线；如果连品类都找不到，那「以转卖为目标」就更像一次事后归因。

第三，三家出事的平台里，有没有哪一家公开提供「批量吊销、紧急轮换」这类用户能自助执行的清单。如果一家都没有，说明整个行业仍然把凭证集中当作可承受的成本；如果有，说明这次事故被当成了系统性事件处理。

判定规则：三件里一件都没发生，这扇门就还停在半掩，而且会继续停在半掩——因为没人觉得它算事故。