澳大利亚总理最近宣布，有一个“精密的国家行为体”侵入了该国主要政党的计算机网络，这再次凸显了网络攻击带来的严重威胁。
此前，今年早些时候议会大厦网络也遭到入侵。澳大利亚以往的案例包括2015年气象局遭遇的恶意软件攻击以及2018年澳大利亚国立大学计算机系统遭到入侵。
事实上，针对澳大利亚政府基础设施的网络行动已被称为“新常态”。
澳大利亚并非唯一面临这一威胁的国家，而且这一威胁不容小觑。美国国土安全部长最近指出了这一挑战的严重性：
……就可能造成后果的广度和范围而言，网络攻击如今带来的风险已超过实体攻击。
技术进步持续快于法律发展。情报官员曾表示最近一次攻击来自一个“民族国家”，但现实是，现有国际法框架无法提供及时或有效的法律救济。
归因难题
最重要的障碍之一是归因问题。若要依据国际法追究某个民族国家对特定行为的责任，该行为必须能够归因于该国。归因有多种方式。例如，国家机关（如政府部门和官员）的行为通常可归因于国家。
但这里有个关键问题：在网络攻击中，国家通常不会通过正式国家机构行事。相反，它们往往利用非国家行为体；这些行为体更隐蔽、与国家联系更间接，也能让国家有理由否认涉入。这既造成事实归因问题，也造成法律归因问题。
事实层面的难题在于，往往极难准确识别网络攻击的来源。网络空间缺乏边界且具有匿名性，这些特点使各国难以确切查明某次网络攻击的责任方。
攻击者越来越善于掩饰真实身份和所在地。他们甚至可能故意制造假象，让人以为攻击是无辜第三方所为。
法律层面的归因问题源于这样一个事实：国际法通常不会要求国家为非国家行为体的行为承担责任。
只有在国家承认并采纳非国家行为体的行为、将其视为自身行为，或国家指挥或控制该非国家行为体时，责任才会归于该国。
鉴于各国往往竭力掩饰其对网络攻击的参与，前一种情况不太可能发生。后一种情况也不太可能，因为国际法为证明存在必要的指挥或控制设定了很高的门槛。
国际法院曾裁定，必须证明某国对寻求归因的每一项具体行为都拥有“有效控制”。仅为网络攻击提供资金或设备支持，甚至为个别黑客提供安全藏身基地，很可能都不足以通过“有效控制”标准。
鉴于这些问题，在现行法律框架下，国家几乎不可能被公开追究责任。
情报官员私下表示中国可能应对最近一次入侵负责，是一回事；但这距离达到依据国际法确立国家责任所需的高门槛，还差得很远。
国家如何应对网络攻击？
即使能够确立法律归因，也无法完全解决法律上的复杂问题。国际法中允许国家在网络攻击发生后有效应对的机制寥寥无几。
国家可以行使自卫权使用武力，但只能应对武装攻击。在这一语境下，武装攻击仅指最严重的武力使用。以收集情报或数据为主要目的的网络间谍活动，极不可能依照这一定义被认定为武装攻击。
同样，国际法在某些情况下允许采取反措施（即旨在促使一国停止其不法行为的一大类临时、可逆措施），但相关条件意味着反措施在网络攻击情境下用途有限。例如，除最紧急的情况外，受害国必须将采取反措施的决定通知责任国，并提出与其谈判，然后才能实际采取反措施。考虑到网络攻击可能具有的速度和影响范围，这些程序要求在应对网络攻击时根本不切实际。
外国发动的网络攻击对澳大利亚构成真实且日益加剧的威胁。遗憾的是，现有国际法框架提供的有效保护或救济十分有限。因此，澳大利亚更有必要确保尽一切可能保护自身及其民主制度免受网络攻击。
