一个帝国亡于多印了纸：你的告警正在重演这件事

一个帝国亡于多印了纸：你的告警正在重演这件事

1368年，元朝不是被打垮的，是先聋了的。

那年闰七月，徐达逼近大都。元顺帝在端明殿召集群臣，守城派与迁都派争吵了一整夜，天亮时谁也没说服谁。他推开殿门，最后看了一眼这座城，出健德门北去。

奇怪的是：元朝当时并不是一个被打残的帝国。疆域仍辽阔，军队仍号百万，它甚至刚刚在高邮城下把张士诚围到弹尽粮绝。《元史》给了四个字："元以钞亡。"一个横跨欧亚的帝国，亡于多印了纸。

至正年间"每日印造，不可数计"，最后十锭钞换不到一斗小米。

它先聋，后死

1367年北伐前，朱元璋让宋濂起草《谕中原檄》，历数元朝之失，最后六个字最狠："宪台报怨，有司毒虐。"

宪台是御史台，本该纠错，却成了党争工具；有司是离百姓最近的执行层，不解决问题，本身成了问题来源。

这两条是连着的：监督一旦异化成斗争工具，执行层会立刻学会两件事——对上粉饰，对下加码。上面收不到真话，下面不敢说真话。帝国还站着，但它已经听不见自己在发生什么。

朱元璋亲历过这个失灵的系统。至正四年淮北大旱、蝗灾、瘟疫，他十七岁，父母与长兄半月内相继饿死，家里穷到连一块埋人的地都没有，靠邻居给了块地才下葬。没有一级官府来问过一句。

二十四年后，这个人推翻了那个帝国。

换帅太快

1307年到1333年，二十六年换了九个皇帝。英宗被御史大夫刺杀于床榻，明宗与弟弟宴饮后当夜暴卒，宁宗在位五十三天。每次更迭都伴随一轮赏赐与政策推翻——武宗即位三个月赏赐用钞三百五十万锭，仁宗即位不足一年高达两千万锭。仁宗复科举、英宗推新政，皆是人亡政息。

一个安全体系真正生效约需 18 个月：半年摸底数，半年建流程，半年成习惯。

你不是在建设，是在反复重启。

翻出去年的安全规划，看有几条今年还在执行。想不起来，说明没人为它的连续性负责。

元以钞亡：告警也是一种货币

元朝钞法本是当时世界最先进的制度：有准备金、有专管机构、有法令。中后期税赋比元初涨了二十余倍，军费、赏赐、宫廷开支全靠加印解决。

至元钞以一换五收回旧钞，等于官宣贬值八成；至正十一年再发至正交钞，"每日印造，不可数计"。结果写在《元史》里："行之未久，物价腾踊，价逾十倍"，"京师料钞十锭，易斗粟不可得"——十锭钞换不到一斗小米。到至正十六年纸币彻底退出流通，民间退回以物易物。当时人给烂钞起的名字全是形容它烂到没法用：观音钞、画钞、折腰钞、波钞、糜不烂。

这是人类历史上第一次主权纸币的信用崩塌。而它和你的 SOC 是同一件事。

告警是一种货币，它的价值取决于它换得来多少次真实响应。你每发一条不值得处置的告警，就等于往市场上多印一张钞。当一万条告警换不来一次真正处置，信用就崩了。

崩掉的不是告警系统，是"告警"这个信号本身。

而最危险的一刻是：真告警来了，也换不来响应。你的 SOC 一天推三千条，其中那条真正的入侵，没人点开。

左边印的是钞，右边印的是告警。崩塌的路径一模一样。

自检三问，必须当场答得出：上月告警总量多少？被真实处置（不只是关闭）的有几条？最近一次"高危告警被跳过、事后证明是真的"是哪天？

第三问答不上来，说明你已无法验证自己的告警还剩多少信用——这比告警多严重得多。

开河：正确的整改，在最错的时点

至正十一年贾鲁治河，征发十五万人，五个月开凿二百八十里新河道，使黄河重归故道——就工程而言，这是一次成功。但它点燃了元末起义：河工劳役极重而官吏克扣伙食钱，韩山童预先埋下的独眼石人被挖出，十五万人心思变。

治河必要，变钞也不是纯昏招。问题在于：它们都在系统最脆弱时，用最粗暴的方式，把压力一次性压到同一批人身上。

安全领域年年重演：大促前一周突然全面收紧权限、强制改密、上线新 DLP 策略——方向全对，落点却是最不该动的时刻。业务为按时上线会临时找绕过方案，而这些绕过往往比原漏洞更危险，且事后没人回收。

一次正确的整改，最后变成一批没人认领的例外。整改要分批，且必须给业务留一条合法的临时通道——"有登记的临时通道"和"偷偷开的口子"，区别只在于前者你知道它在哪。

响应能力同理：红巾军初起，脱脱派的将领到前线只顾酒色，弟弟率十余万军在沙河不战而溃；他本人围高邮即将破城时，一纸诏书削去兵权，《元史》记："大军百万，一时四散。"元朝最后一位能打的丞相，倒在自己人手里。

别看有没有预案，看最近一次演练中从"发现"到"有人拍板"用了多久。超过三十分钟，真实事件里大概率会断在同一处。

大都城墙还很厚时，真正已经塌掉的是感知能力。