我想把安全行业中产品安全工程防御方的两类人进行对比。第一类是“安全即身份”的人。这可以追溯到安全作为反主流文化的态度，在电影《黑客》中被美化，其根源可追溯至电话飞客时代。这反映了汤普森的“工作主义”，即工作不仅仅是谋生手段，更是构建身份认同、目标和社区感的方式。就安全领域而言，这种身份认同往往围绕着与众不同、看到他人看不到的东西、以一种前卫且被误解的方式展现聪明才智而建立。他们不仅仅是安全专业人士，更拥有“黑客”的人格。他们是比系统更聪明的时尚局外人，是发现他人遗漏的洞察力的侦探。黑客精神本身并无不妥。发现系统崩溃并以意外或错误方式运行的地方，显然极具价值。职业生涯、会议和专业社区都奖励漏洞发现，越令人惊讶越好。同样，黑客美学就是它本来的样子。在这一点上，它已成为主流。每年约有25,000人参加DEF CON大会。重视意外洞察并非黑客独有。在2000年代，书籍《魔鬼经济学》极为流行。它也采取了为看似简单或平凡的社会现象提出惊人解释的形式。如果你能发现意想不到的东西，你一定非常聪明和酷！但惊喜真的应该是智力的信号吗？你可以把这种态度更进一步，采用保罗·格雷厄姆式的“结果发现”误导手法。与其说相信Y，不如说你预期是X，经过调查，结果发现Y是真的。这样，你就不必为Y辩护，只需说X是假的。你选择的身份不仅仅关乎美学。问题定义本身就带有相关的世界观，而改变世界观非常困难，尤其是当你的身份、社区和职业都围绕该世界观建立时。那些解决根本问题但不验证该世界观的解决方案的证据，可能会被拒绝。作为一个具体例子，诺德豪斯和谢伦伯格在2004年臭名昭著的“环保主义之死”一文中指出了气候变化活动中的这种失败模式。环保主义者希望人们同意保护“环境”这个所谓的“事物”，一个值得善意的特殊利益，应该通过技术性政策干预来专门推进它。这意味着解决方案需要采取与“环境”相关的形式，如总量管制与交易和碳排放限制。那些实现了减少温室气体预期结果但不够“环保”的解决方案，如降低清洁能源成本（即使使用量增加）、高产农业（不仅仅是有机从农场到餐桌），以及技术替代可以比行为改变更有效的想法，都被拒绝了。具有讽刺意味的是，在这篇有争议的文章发表后的二十年里，我们可以看到许多被拒绝的解决方案最终得到了实施。太阳能和电池技术的改进，加上电动汽车和其他可再生能源（其中许多在2010年代获得政府补贴），比2000年代验证环保主义主流世界观的政策在减少温室气体排放方面做得更多。在安全领域，如果解决方案看起来不像反复发现、利用和修补技术上令人印象深刻的漏洞，并且不能满足“安全即身份”者的世界观，特别是如果他们宁愿当侦探也不愿当机械师，那么这些解决方案可能会被忽视。攻击者心态和连贯的威胁模型对于构建安全系统很重要。但尽管必要，它们完整吗？它们甚至是好的起点吗？我们不教...