一场模拟中国黑客组织“伏特台风”（Volt Typhoon）大规模攻击美国供水系统的兵棋推演，揭示了一个灾难性的场景。在这场推演中，保险业高管们发现，此类攻击会引发医院、数据中心和制造业等关键领域的连锁崩溃。最终的结论是，如此规模的灾难可能是“无法投保的”，而保险业最大的作用并非事后赔付，而是通过保单要求，强制客户加强网络安全，从而从根本上预防此类攻击的发生。
一场“感觉不像游戏”的推演
在一场闭门兵棋推演中，参与者被置于一个假想的灾难场景：中国黑客组织在 24 小时内入侵了全美 5000 个供水设施。这场由前美国网络安全与基础设施安全局（CISA）战略师主导的推演，很快就让参与的保险业高管们感到不安。
随着模拟时间的推移，断水引发的次生灾害开始显现：
- 医疗系统瘫痪： 2000 家医院因断水而无法正常运作，暖通空调系统关闭，甚至导致病患疏散。
- 供应链中断： 冷藏仓库的制冷系统失灵，依赖水源的药品和化工厂停产，导致胰岛素等物资短缺。
- 数字基础设施崩溃： 数据中心的冷却系统失效，引发云服务中断。
- 物理破坏： 黑客不仅造成了 IT 系统中断，还成功引爆了部分水管，造成了需要更长时间修复的物理损伤。
这一切都取决于水。
在这场推演中，保险公司面临着一个核心难题：在资源（网络安全应急团队和资金）极其有限的情况下，应如何分配并决定优先服务哪些客户？是优先考虑商业关系、尽可能减少人道主义灾难，还是响应军方要求，优先保障军事设施的运作？
现实世界的威胁：“伏特台风”
兵推中的场景并非空穴来风。现实中，名为 “伏特台风”（Volt Typhoon） 的中国军方黑客组织早已被发现。
- 战略目的： 该组织的主要目标被认为是 “预置” 攻击能力。他们潜入美国本土及关岛等地的关键基础设施网络，为的是在未来危机（如台海冲突）中，通过网络攻击瘫痪美国，以阻碍其军事行动。
- 攻击目标广泛： 他们的目标不仅限于军事相关设施，还包括夏威夷的供水公司、港口、油气管道，甚至人口仅一万多人的小镇供水部门。其目的似乎是为了在美国本土制造 “社会混乱”。
- 隐蔽的手段： 该组织采用一种被称为 “就地取材”（living off the land） 的策略，利用网络中已有的合法功能进行活动，而不是植入恶意软件，这使得他们极难被发现，尤其是在安全预算有限的市政设施中。
中国实际上已将数字炸药绑在了美国社会的支柱上。他们悄悄地维持着访问权限，等待时机。
两难的抉择与无解的困局
在推演的第二天，随着危机的全面升级，参与者们面临更严峻的抉择。在收到军方要求优先保障国家安全的请求后，他们必须决定：是优先拯救生命，还是优先减少经济损失，或是服从国家安全大局？
尽管所有小组都一致同意将 “拯救生命” 作为首要任务，但很快就有人指出了这个选择的复杂性。
“最简单的答案是公共安全和人的生命。但当监管机构或股东打来电话质问时，事情就变得困难了。”
在现实中，优先保障人道主义可能意味着违反合同、无视军方命令或与政府在战争初期的整体战略相悖。推演在参与者意识到这种无解的矛盾时戛然而止。
唯一的制胜之道：预防而非应对
这场兵推的目的不是为了分出胜负，而是为了 “压垮” 参与者，让他们 “打破固有的设想”。
推演揭示了一个核心问题：像“伏特台风”这样的大规模网络攻击很可能是 “无法投保的”。其造成的损失可能远超保险业的承受能力，最终要么导致整个行业破产，要么迫使保险公司启用“战争行为”免责条款，从而摧毁公众对保险的信任。
因此，真正的教训在于：
- 保险业的角色转变： 保险业最有力的工具不是在灾难发生后提供赔付，而是在灾难发生前进行 预防。
- 通过保单强制提升安全水平： 保险公司可以通过保单条款，强制要求客户修补网络漏洞、加入网络安全信息共享组织等。目前，全美超过 15 万个供水系统中，只有 0.3% 加入了此类组织。
正如经典电影《战争游戏》的最后启示：在某些游戏中，唯一能赢的举动，就是不去玩——至少，不是按对手的规则去玩。