本文是世界经济论坛地缘战略平台
30多个政府已承认拥有网络攻击能力。然而，与常规武器不同，网络武器库隐秘且无形，其来源难以追踪和识别。因此，实际数量很可能远高于此，并将在未来几个月和几年里继续增长。
此外，正是由于这种模糊性，政府更愿意部署这些武器——通过发动攻击测试能力，同时在闭门会议中调整战略。微软政府网络安全政策与战略总监卡娅·齐格利在为观察者研究基金会论文集《我们的共同数字未来》撰写的文章中如此写道。
网络军备竞赛显然已拉开序幕。然而，人们并未充分了解网络武器的风险和危害。这两个问题——网络攻击活动的隐秘性和不可预测性——共同造成了前所未见、规模如此之大且发展如此之快的脆弱性。我们该如何管理由此产生的风险？这种风险既可能出现在网上，也可能影响线下。
国际法适用于网络空间
微软认为，现行国际法适用于网络空间。这并不令人意外。网络活动涉及真实的人使用有形物品，而这些人和物品长期以来一直受各种法律框架约束。不过，各国政府花了更长时间才得出这一结论。
近二十年前，联合国设立了一个工作机构，以确保各方就如何应对当时相对较新的信息技术（IT）领域达成共识，尤其是日益棘手的网络安全问题。经过一段时间，联合国政府专家组（UN GGE）于2015年确认，国际法适用于网络空间。该专家组的全称是联合国国际安全背景下信息和电信领域发展政府专家组。
参与这一进程的20个国家一致通过了共识报告，其中包括美国、中国、俄罗斯、法国和英国。此后，各国政府在多份声明中重申了这一立场；今年4月初，七国集团（G7）也重申了这一立场。
值得注意的是，我所称的“网络超级大国”之间达成的双边网络安全协议也体现了这一立场。
因此，如今要确保各国在网络空间的行为受某些规则和规范约束，唯一途径就是承认国际法
undefined
从中俄、美中、美印和中英网络安全协议，到今年中国与澳大利亚签署的网络安全合作协议，其中对联合国政府专家组的提及以及对网络安全规范的支持表述不一、数量众多。区域组织也承认国际法适用于网络空间，包括东盟地区论坛和美洲国家组织。双边和区域协议是重要的步骤，但无法满足建立战略性国际网络安全框架的需要。
因此，如今要确保各国在网络空间的行为受某些规则和规范约束，唯一途径就是承认国际法。在我们看来，挑战不在于国际法是否适用，而在于它在和平时期是否充分，以及如何落实。
仅承诺遵守国际法还不够
尽管各方似乎几乎一致同意，但从广泛支持立场迈向具体承诺仍然困难重重。联合国政府专家组一直是这一进程中的关键力量，堪称主干道，其他论坛则如同支线公路。然而如今，我们似乎走进了死胡同。
那么，我们接下来该怎么办？
我们的优势在于，这段复杂旅程已经有了起点：2015年联合国政府专家组就11项网络安全规范达成了协议。我们也有若干提案，包括微软作为《数字日内瓦公约》倡议的一部分提出的方案，以及七国集团等较小范围团体达成的部分协议。但这些不过是漫长道路上的最初几步。
要取得实质性进展，我们必须揭示一个事实：遗憾的是，迄今达成的协议缺乏明确细节。这使各国得以继续违反既定规范，而国际社会却无从作出回应。例如，国际法禁止各国使用武力，除非为应对武装攻击而进行自卫；联合国政府专家组的规范则呼吁各国避免从事国际恶意活动。
问题在于，这些表述应如何适用于网络空间，以及如何界定恶意活动等概念。迄今的工作在这些方面有所欠缺。要推动进展，就需要找出并弥补这些缺口。全球网络空间稳定委员会围绕核心互联网基础设施构成要素所开展的工作，或许能在这方面取得重要成果。
此外，现有规范清单未能充分应对网络空间不稳定的核心驱动因素。我们需要制定一套有限的补充网络安全规范，针对现有规则不明确或可能不足以保护网络空间平民的领域。
这套规范可以明确阐述对平民的保护，即便国际法其他条款已经隐含了这些保护。制定这些规范时，不应只听取政府意见，也应征询民间社会和私营部门的意见。
这一进程的第三步是切实落实既定规范，并以该领域专家的法律意见为依据，从而推动习惯国际法的发展。
在这一过程中，政府不仅需要遵守规范，还需要追究其他国家的责任，可以采取经济制裁等惩罚措施，也可以作出谴责。即使证据似乎充分，各国往往仍选择不采取行动，以免影响其他关系。但其他政府会将此视为此类行为可以被允许的先例。
只有到了那时，我们才能迈出这一进程的最后一步——制定一项具有约束力的国际协议，类似于一项新的或“数字”日内瓦公约。大多数专家都认为，这最后一步可能需要数十年；今年早些时候我们提出这一构想时，就已明确说明这一点。
推动《数字日内瓦公约》取得进展的核心原则
那么，我们在今年2月提出了什么？我们呼吁世界承认，我们身处一个日益不安全的世界，安全局势每天都在恶化。我们突然发现，网络上的国家攻击似乎无所不至。各国政府试图利用软件，甚至将其武器化以实现国家安全目标的风险日益上升，政府对网络攻击能力的投入也在持续增加。
我们提出的应对方案是一项《数字日内瓦公约》，承诺各国政府采纳并落实旨在保护互联网平民的规范，同时不对网络内容施加限制。正如世界各国政府于1949年齐聚一堂，通过《第四日内瓦公约》以保护战时平民，《数字日内瓦公约》也将保护和平时期的网络公民。
此外，我们承认，单靠任何一项举措都不足以解决这一问题。鉴于科技行业作为互联网第一响应者所发挥的独特作用，我们鼓励其携手采取更多行动，并承诺开展集体行动，让互联网更加安全；同时确立中立的“数字瑞士”角色，为各地客户提供帮助并赢得全世界的信任。我们还呼吁加大力度改进现有的攻击归因工作——这是网络领域的一项关键挑战。
然而，正如上文所说，尽管前进方向可能已经明确，我们仍需规划出抵达目标的路线，因为正如前面所指出的，主干道已经被冲毁。我相信，如果政界人士、外交官、技术专家和公民组成更广泛的社群，重新聚在一起，就能找到通往下一步的道路。现有众多论坛和团体可以为此发挥作用，人们也越来越认识到必须采取行动，而且必须在网络攻击升级到失控之前采取行动。换言之，现在就必须采取行动。
然而，我们也需要明确该如何走完这段旅程。任何努力要取得成功，都必须遵循以下三项主要原则：
我们必须建立一个开放的多方利益相关者进程，让政府、科技行业、民间社会团体和学术界都能参与；
世界各地都必须得到代表并积极参与，涵盖南北、东西各方，而不只是“惯常参与者”；
这一进程不能被封闭在以技术语言为掩护的委员会中，而必须保持开放透明，让所有依赖网络空间的人都能了解正在发生什么，并能追究各国政府、科技行业及其他相关方的责任。
如果我们忽视这些基本原则，任由进程退回到封闭的小圈子，世界就会停留在现状。我们或许能取得渐进、零散的进展，但速度会远远落后于网络空间的迅速演变，也远远落后于其中发生的攻击，进展范围也会受到更大限制。
微软呼吁制定《数字日内瓦公约》，以此倡导重新承诺国际法在网络空间中的作用。我方提案代表着我在此描述的旅程终点。因此，我们真正关心的问题不是多快才能达成一项新公约，而是能多快沿着上述路径取得有意义的进展。等待只会助长现状，意味着网络空间中针对平民的攻击会进一步增加，后果也会日益严重，最终使网络空间沦为无法之地。我们不可能明天就抵达终点。尽管这段旅程会经历多次迭代并设有多个阶段性节点，但稳定安全的网络空间这一目标无疑值得我们付出努力。
《网络空间与安全相关国际合作和法律的演进》，作者：卡娅·齐格利，该文收录于 观察者研究基金会出版的《我们的共同数字未来》。
