文章总结： 情报学科涵盖人力情报、信号情报等，强调信息获取途径划分，并详细阐述了人力情报的定义、原理、价值、流程和局限。课程强调情报获取的专业性、风险管理和伦理法律边界，并提供了一系列学习建议。 综合评分： 85 文章分类： 情报分析,安全培训,安全意识,安全运营,政策法规
情报分析师培训课程（三）情报学科与全源分析（3）
原创
丁爸 丁爸
丁爸 情报分析师的工具箱
2026年10月7日 20:35 四川
在小说阅读器读本章
去阅读
在公众号小说中沉浸阅读
模块二 搜集学科（一）
人力情报、信号情报与网络情报、图像情报
第一节 搜集学科的总体框架
一、什么是“情报学科”
进入具体门类之前，必须先弄清楚“学科”这个词在情报语境中的确切含义。情报学科，英文中常被缩略为一类以后缀标识的简称，中文可译作“搜集门类”或“情报学科”。它的本义是按获取信息的途径划分的专业领域。
这个概念有三重身份，弄清这三重身份是理解后续所有内容的钥匙。第一重是技术身份：它指一类获取信息的物理或社会途径，比如截获电磁信号、拍摄照片、询问人员。第二重是组织身份：它对应一个或若干个专门机构，这些机构以该途径为主要职能。第三重是预算身份：它是资源分配与责任界定的单位。
三重身份经常被混为一谈，造成的典型错误是：把机构边界当成认识论边界，以为某个机构管不到的事情，就属于“不可知”；或者反过来，以为技术上有可能的事情，组织上就一定能做到。两种错误都会导致判断失真。
二、为什么按途径划分
按途径划分而非按问题划分，有它的历史合理性。第一，不同途径所需要的装备、训练、基础设施完全不同，按途径组织才能形成专业深度。第二，不同途径的产出形态不同，需要不同的处理与判读能力，集中处理效率最高。第三，不同途径的成本结构与风险性质不同，按途径管理便于核算与问责。
但这些合理性都成立于一个前提：问题的数量有限、形态稳定、可以由单一途径长期跟踪。当这个前提不成立时，按途径划分的代价就超过了收益。这正是模块一已经讨论过的范式转变的根源。
三、主要门类的划分与命名逻辑
常见的划分包括：人力情报，指通过人员获取的信息；信号情报，指通过电磁波谱截获的信息；图像情报，指通过成像手段获取的信息；地理空间情报，指对地理空间信息的综合描述与判读；测量与特征情报，指通过专门传感器获取的目标特征信息；开源情报，指从公开可得材料中获取的信息。此外还有若干专门领域，如科技情报、医学情报、太空情报、网络情报、执法情报、竞争情报等，它们的划分依据不完全相同，后面会专门讨论。
命名逻辑上的混乱是长期存在的问题。有的按途径命名，有的按机构命名，有的按对象命名，有的按方法命名。这种混乱不是小事，因为它直接影响人们的理解：把按方法命名的当成按途径命名的，会误以为它是一种独立的获取渠道；把按机构命名的当成按途径命名的，会误以为该机构垄断了某种能力。模块六将专门讨论命名边界问题。
【一个命名混乱造成后果的例子】
某份文件中提到“需要加强某某情报工作”。读者如果不知道这个名称指的是一种分析方法，而不是一种搜集途径，就可能去新建一个搜集机构、申请一批装备、设立一套流程，而实际上需要做的是培训分析人员掌握一种方法。
这类错误在各国情报史上都发生过，代价是巨大的资源错配。本课程在介绍每一个名称时，都会先说明它属于哪一类：途径、机构、方法还是领域。请同学们在自己的笔记中也保留这一栏。
四、本模块与下一模块的划分方式
本模块讲人力情报、信号情报与网络情报、图像情报；下一模块讲地理空间情报、太空情报、科技情报与医学情报、开源情报。这个划分主要依据教学节奏，而不是严格的分类逻辑。实际上，信号情报与网络情报关系密切，图像情报与地理空间情报、太空情报高度重叠，开源情报则贯穿所有门类。
同学们在学习时，不要把这些门类想象成并列的抽屉，而要想象成一个有重叠的集合。真正重要的是理解每一类的三个问题：它回答什么问题，它用什么手段回答，它回答不了什么。
五、统一的讲授结构
本课程对每个门类按统一结构讲授，共六个部分。第一部分是定义与范围，明确它是什么、不是什么。第二部分是原理，说明它为什么能获取信息，其物理或社会机制是什么。第三部分是工具与流程，说明实际怎么干，包括主要装备、主要环节、主要产出形态。第四部分是局限，说明它回答不了什么，以及它为什么会出错。第五部分是典型案例，通过具体事件说明上述四点的实际表现。第六部分是中国的立场与实践，说明我们怎么看、怎么用。
这个结构中，第四部分的篇幅不少于前两部分之和。这是刻意的安排：了解一个门类的能力，只要读材料就能做到；了解它的局限，必须理解机制并见过失败。而分析工作中真正决定成败的，往往是对局限的把握。
六、学习本模块的三条建议
·建议一：为每个门类建立一张三栏表，分别写“能回答”“不能回答”“常被误以为能回答”。第三栏最有价值，它记录的正是该门类的认知陷阱。
·建议二：注意每个门类的时间尺度。有的门类以秒计，有的以年计。时间尺度决定了它们能支撑什么类型的判断，也决定了它们能否被整合进同一个流程。
·建议三：始终记住材料背后的代价。任何一条材料都有其获取成本，包括金钱、风险、时间与政治代价。不考虑代价的能力评估是没有意义的。
第二节 人力情报（一）：定义、原理与独特价值
一、定义与范围
人力情报，指通过人员途径获取的信息。它的核心特征不是“派人”，而是“由人来获取并转述”。凡是通过人的接触、观察、交谈、关系而获得的信息，无论提供者是不是专业人员，都属于这个门类。因此它既包括专业人员发展的关系所提供的信息，也包括外交人员、记者、商人、学者、旅行者在日常交往中获得的观察。
明确这个范围很重要。很多人把人力情报等同于“间谍活动”，从而把它窄化为一种特殊职业行为。这种窄化有两个后果：一是忽视了日常交往中获得的大量有价值信息，二是把整个门类神秘化，似乎它完全不可讨论、不可研究。事实上，作为一门学科，人力情报的原理与方法完全可以公开讨论，需要保密的只是具体的人与事。
二、它回答什么问题
人力情报最不可替代的价值，在于它能够回答关于意图、计划、决策过程与内部关系的问题。技术门类擅长回答“有什么、在哪里、有多少、在什么时候”，而“为什么”“打算怎么办”“谁说了算”“内部怎么争论”这类问题，本质上只有人能提供答案。
这个差异的根源在于信息的性质。技术门类获取的是物理痕迹，它记录的是已经外化的行为；而人的意图在被外化之前，只存在于人的头脑与人际交流之中。要从源头了解意图，只能通过人。这不是技术问题，是认识论问题。
此外，人力情报还有一个常被低估的功能：它能解释技术材料。一张图像显示某设施新增了围墙，技术判读可以告诉你围墙的位置、长度、施工进度，但无法告诉你为什么建。围墙可能是为了保密，可能是为了安全，可能是为了应付上级检查，也可能是为了阻挡外部观察。这些不同的解释对应完全不同的判断，而区分它们往往需要人的信息。
三、原理：为什么人愿意提供信息
人力情报能够运作，依靠的是对人的动机与关系规律的理解。人提供信息的动机，通常被概括为若干类：意识形态认同、利益交换、情感关系、被胁迫、自我实现的需要、以及对某种不公正的反感。不同动机决定了不同的可靠性与稳定性，也决定了不同的经营方式。
这里有一个基本原理：动机的稳定性决定了来源的持久性。基于利益交换的关系，在利益停止时就会终止；基于认同的关系，在认同动摇时就会变化；基于胁迫的关系，一旦对方认为被暴露的风险小于继续合作的风险，就会反转。评估一个来源，本质上就是评估其动机的稳定性。
第二个基本原理是：关系的深度决定了信息的深度。一个只能观察到表面现象的来源，无论动机多强，也只能提供表面信息。因此人力工作真正稀缺的资源不是愿意合作的人，而是处于关键位置、能够接触核心信息的人。这也是为什么人力工作周期长、代价高的原因：找到并发展一个处于关键位置的来源，往往需要数年。
【“人在环路中”的两面性】
人力情报的最大优势与最大弱点，是同一个事实的两面：信息必须经过人的理解与转述。
优势在于，人能够理解语境、能够推断言外之意、能够把零散现象串成一条有因果的线索。一份来自内部人员的报告，往往能直接说明某件事的来龙去脉，而这是几十张图像拼不出来的。
弱点在于，人的理解带有偏差，人的转述带有选择，人的记忆带有重构。来源可能真诚地报告了他相信的事情，而他相信的事情是错的。更麻烦的是，这种错误无法通过提高来源的可靠性等级来消除——因为问题不在于他是否诚实，而在于他的认知框架。
因此，人力情报的评估必须包含一层特殊的工作：评估来源的认知位置，即他处在什么位置上、能看到什么、可能被什么信息环境所塑造。
四、基本流程的五个阶段
人力情报的工作通常分为五个阶段，各阶段的任务、方法与风险都不同。
·第一阶段：物色。根据情报需求确定需要什么位置上的什么人，然后从可接触的人群中发现符合条件的对象。这一阶段的产出是一份候选名单与初步评估。
·第二阶段：接触。以自然、合理的方式建立初始联系。这一阶段的关键是不暴露真实目的，同时观察对象的反应与可接近性。
·第三阶段：评估。判断对象的真实动机、真实能力、真实位置与潜在风险。这一阶段与接触往往交织进行，是整个过程中心理成本最高的一段。
·第四阶段：发展。在评估的基础上，把关系推进到能够提供信息的状态。这一步需要明确的授权与记录。
·第五阶段：经营。在长期合作中维护关系、管理风险、核实信息、处理来源的心理与现实困难。经营阶段往往持续数年，是人力工作真正的主体。
五个阶段中，最容易被教科书忽略的是第五个。大量人力工作的失败不是发生在招募阶段，而是发生在经营阶段：关系因为疏忽、因为需求过度、因为来源处境变化而中断或反转。下一节将专门讨论经营与风险。
五、中国语境下的人力工作：性质与边界
中国的情报与安全工作坚持党的绝对领导，坚持依法办事。国家安全机关与情报工作机构依法履行职责，其人力工作有明确的法律授权、严格的审批程序与监督机制。这与其他国家的相关实践在性质上有根本区别：中国的情报工作为人民服务，为维护国家主权、安全、发展利益服务，不以干涉他国内政为目的。
同时，中国的专门工作与群众路线相结合，形成了独特的信息来源结构。专业的专门工作提供了深度与规范，群众路线提供了广度与贴近性。二者结合，既避免了单纯依赖专业渠道造成的视野狭窄，也避免了单纯依赖群众信息造成的系统性与核实问题。
在方法层面，中国长期强调调查研究，强调深入实际、深入群众、实事求是。这些方法论要求与人力情报的专业方法有相通之处：都强调直接接触、强调核实、强调避免先入为主。同学们在学习人力情报的专业流程时，应当把它与调查研究的方法论传统结合起来理解，而不是割裂看待。
第三节 人力情报（二）：变化中的队伍
一、一份关于“变化”的诊断
约翰·萨诺的《人力情报的变化》是本节的主干文献。它讨论的不是技术，也不是战例，而是队伍本身：谁在做人力情报，他们能做多久，他们被怎样训练，以及技术与文化如何重塑这项工作。这个角度在本课程中很特别，因为它提醒我们，任何门类都是由具体的人来承担的，人的变化最终会变成能力的变化。
二、人口结构与职业预期的变化
萨诺指出的第一个变化是人口结构与职业预期。传统上，人力工作被视为一种需要长期积累、长期投入、长期回报的职业，从业者往往在一个方向上深耕十几年甚至更久。这种模式的优势是关系深度与判断经验；代价是职业路径狭窄、家庭生活受影响、且能力高度依赖个人。
新一代从业者的职业预期与此不同。他们更倾向于较短的岗位周期、更清晰的晋升路径、更可迁移的技能，以及更好的工作生活平衡。这种预期本身无可厚非，但它与人力工作对长期性的要求之间存在张力。一个需要五年才能培育成熟的关系，很难在一个两年一轮岗的体系中持续发展。
这个张力不是靠思想工作能解决的，它需要制度设计来回应。可能的路径包括：设置专门的长周期岗位序列，使从事深度关系经营的人有独立的晋升通道；建立关系的团队化维护机制，减少对单一个人的依赖；以及把长期关系的档案与知识显性化，使换人时的损失可控。
三、技术原生代的进入
第二个变化是从业者的技术背景。年轻一代进入岗位时，天然熟悉数字工具、社交平台与数据分析。这带来两方面影响。正面影响是，他们更善于利用数字痕迹辅助人力工作：在接触前了解对象，在经营中核实信息，在风险评估中发现异常。负面影响是，长期面对屏幕可能造成面对面能力的相对弱化。
这里有一个值得注意的细节：人力工作的核心能力之一是面对面交往中的观察与判断——从对方的迟疑、岔开话题、过度强调中发现信息。这种能力在数字交往中几乎没有用武之地，也难以通过数字方式训练。如果年轻从业者的主要交往经验来自屏幕，那么这项核心能力就需要专门的、有意识的训练来补足。
对中国的启示是明确的：在情报与安全工作队伍建设中，既要重视数字素养，也要重视面对面做群众工作的能力。后者恰恰是中国专门工作与群众路线相结合的优势所在，应当作为看家本领加以传承与训练，而不能在数字化转型中被稀释。
四、训练方式的转变
第三个变化是训练方式。萨诺提到，传统的人力情报训练高度依赖经验传授，即以老带新、以案例带教学、以轶事传方法。这种方式的优点是具体、生动、贴近实际；缺点是难以标准化、难以检验、容易把个人习惯当成普遍规律，也容易把偶然成功当成方法。
新一代从业者对这种方式的接受度在下降。他们更习惯结构化、可解释、可检验的训练：明确的步骤、明确的判断标准、明确的失败案例库。这种偏好是合理的，也推动了人力情报训练向结构化转变。但转变中需要防止另一种倾向：把人力工作过度流程化，误以为按步骤操作就能应对千变万化的人。
合理的做法是分层训练。可标准化的部分——接触的合规要求、记录规范、风险评估表、核实方法——应当标准化，并且必须考核。不可标准化的部分——如何在具体情境中判断对方的状态、如何把握谈话的分寸、如何处理关系的突变——只能通过案例研讨、情景模拟与师徒制来传递。两者不可偏废。
【“轶事式训练”为什么会害人】
一位资深从业者讲过这样一个故事：他第一次接触某个对象时，故意迟到，对方没有生气，他据此判断对方急于建立关系，于是加大力度推进，最终成功。
这个故事被讲了很多年，听故事的人记住了“故意迟到可以测试对方急迫程度”。
问题在于：这个判断成立有一堆未明说的条件——对象的文化背景、当时的处境、双方的力量对比、以及这位从业者本人的气场。换一个人、换一个对象、换一个场合，同样的做法可能直接导致关系破裂。
轶事式训练的危险，不在于故事是假的，而在于听故事的人把结论从条件中剥离出来，当成了可以照搬的方法。
改进的办法很简单：讲案例时，必须同时讲清楚“什么条件下成立”与“什么条件下会失败”，并且最好配一个失败的反例。
五、技术条件对人力工作的重塑
第四个变化来自技术条件。数字技术的普及改变了人力工作的环境，体现在三个方面。第一，可核查性大幅提高。来源提供的信息，越来越多地可以通过公开或技术手段加以核实，这既降低了被欺骗的风险，也降低了对来源信息的依赖。第二，暴露风险大幅提高。数字痕迹使人员与关系的隐蔽变得更加困难，任何一次联系都可能留下记录。第三，替代性增强。某些过去只能靠人获取的信息，现在可以通过其他途径获得，这改变了人力工作的比较优势。
第三点尤其重要，它直接回答了本节开头提出的问题：当技术搜集手段越来越强，人力工作的独特价值在哪里？答案在于：技术的增强主要发生在“有什么、在哪里、什么时候”这一侧，而“为什么、打算怎么办”这一侧的进展要慢得多。因此人力工作的重心应当相应调整——从获取可被技术替代的事实性信息，转向获取不可被技术替代的意图性、关系性信息。
这个判断对资源配置有直接含义：如果一个机构的人力工作仍以获取事实性信息为主，那么它的边际价值正在下降；而如果它能够稳定提供关于意图、决策过程与内部关系的信息，那么它的价值反而在上升。
六、文化期待的影响
萨诺还提到社会文化期待的变化。年轻一代对工作意义、对个人价值观一致性、对组织透明度的期待与前辈不同。他们更在意自己所做工作的正当性，更愿意追问为什么，也更难接受“不要问、照做”式的管理。
这个变化对情报工作提出了新要求：必须能够向从业者清晰地说明工作的目的与正当性。在中国的语境下，这一点有着天然的答案——中国的情报工作坚持党的绝对领导，坚持以人民安全为宗旨，工作目的是维护国家主权、安全、发展利益，保障人民安居乐业。这个答案不是宣传口号，而是从业者能够切身感受到的现实。向学生讲清楚这一点，是政治要求，也是专业要求。
同时也要承认，任何组织都需要在纪律与沟通之间保持平衡。情报工作的特殊性决定了有些事情不能广而告之，但这不意味着应当以沉默代替解释。合理的做法是：在权限范围内尽可能说明，在不能说明的地方坦诚说明为什么不能，并且让从业者看到有效的监督与问责机制存在。信任不来自命令，来自可验证的制度。
第四节 人力情报（三）：招募与经营的专业逻辑
一、从需求反推：需要什么位置的人
招募工作的起点不是找人，而是找位置。正确的顺序是：先明确情报需求，再推导需要什么类型的信息，再推导什么位置上的人能接触这类信息，最后才是找具体的人。跳过前三步直接找人，是人力工作最常见的资源浪费。
位置的推导需要考虑三个变量。第一是接触面：这个位置能接触到多少目标信息，是核心决策圈、执行层、还是外围。第二是稳定性：这个位置的人能在这个位置上待多久，是否面临频繁调动。第三是可接近性：以我方现有的身份与渠道，有没有自然的方式接触到这个位置的人。三个变量往往相互冲突：越核心的位置越难接近，越稳定的位置往往越基层。
这个权衡决定了人力工作的基本策略：与其追求一个难以接近的核心位置，不如同时发展若干个可接近的中层位置，通过它们的交叉来逼近核心。这种“多点逼近”的策略虽然慢，但风险分散、可持续性强。
二、接触：自然性与可否认性
接触阶段有两个技术要求。第一个要求是自然性。接触必须发生在对方看来合理的场合与理由之下，否则会引起警觉。自然性的实现依赖于身份掩护的质量：掩护身份必须真实可信、可持续、经得起追问。一个编造得过于完美的背景，往往比一个朴素但真实的背景更脆弱。
第二个要求是可否认性。在接触的早期，双方都应当能够把这次相遇解释为偶然。这既是保护我方人员，也是保护对象——一旦对象意识到自己被当成目标，即使他愿意合作，也可能因为恐惧而中断。可否认性要求在早期接触中，所有行为都必须有两种以上的合理解释。
这两个要求在数字环境下面临巨大挑战。过去的偶然相遇可以设计：会议、社交场合、共同的爱好圈子。而在数字环境下，任何联系都可能留下可被追溯的记录，偶然性变得难以制造。这是当代人力工作成本上升的重要原因之一。
三、评估：四个维度的持续判断
评估不是一次性的，而是贯穿关系全程的持续工作。它包含四个维度。
（一）动机维度
对方为什么愿意提供信息？是认同、是利益、是情感、是胁迫、还是某种怨恨？动机是否稳定？会不会因为外部条件变化而反转？特别需要警惕的是复合动机：表面上是认同，实际上夹杂着利益诉求；或者表面上是怨恨，实际上是在试探。
（二）能力维度
对方真的能接触到他声称能接触的信息吗？这是最容易被高估的维度，因为人有夸耀自己重要性的倾向。验证的办法不是直接追问，而是让他描述细节：会议室的布置、文件的格式、流程的环节。真正处于某个位置的人，描述细节时会自然、具体、平淡；冒充者则往往宏大、模糊、戏剧化。
（三）风险维度
对方暴露的风险有多大？他所在的环境有无反制能力？他的行为模式是否会引起注意？他本人的心理状态是否稳定？风险维度需要动态评估：一次不经意的炫耀、一次财务上的异常、一次情绪失控，都可能使风险等级急剧上升。
（四）可靠性维度
对方提供的信息过往准确度如何？有没有被证实为误报的记录？他是否有把推测当事实、把传闻当亲历的习惯？可靠性维度的评估必须建立在信息核实的基础上，而不是建立在印象上。
【为什么“他提供的信息都很准确”反而是危险信号】
一个来源提供的每一条信息都能被核实为准确，听起来是理想状态。
但如果长期如此、毫无例外，就需要警惕三种可能。
其一，他可能只报告那些他有把握的、无关紧要的信息，把真正敏感的部分藏起来。这种“安全的准确”实际上是一种消极合作。
其二，他可能在向我方传递被安排的信息。一个被对方反制机关控制的来源，往往会被允许提供一定数量的真实信息，以建立信誉，然后在关键时刻传递误导。
其三，他可能在无意识地迎合。如果我方的提问带有明显的期待，来源可能倾向于提供符合期待的答案，长期下来会造成系统性的偏差。
因此，评估来源时应当关注信息的“分布”，而不只是“准确率”：有没有报告过不利于我方预设的信息？有没有报告过他自己不确定的信息？有没有主动纠正过自己此前的说法？这些才是可靠性的真实指标。
四、发展：授权、记录与分寸
从评估到发展，是一个性质上的跨越：从了解对方到明确提出合作。这一步通常需要明确的授权，因为它是风险与责任的分界线。授权的意义不仅是程序合规，更是让从业者知道组织会为这个决定负责，从而敢于在关键时刻作出判断。
发展阶段的记录要求最高。从这一刻起，所有接触、所有承诺、所有交付都应当有记录。记录的作用有三：一是便于核实与评估，二是便于在人员变动时接续，三是便于事后审查与责任界定。任何“为了安全而不记录”的做法，长期来看都会付出更大的代价。
发展阶段还有一个容易被忽视的分寸问题：提出请求的时机与尺度。过早提出高敏感请求，会使对方在心理上无法承受而中断；过晚或不提出，则关系停留在社交层面，无法产生价值。分寸的把握没有公式，只能基于对对方的了解与对关系的判断，这正是人力工作被称为“艺术”的部分。
五、经营：长期关系的三个难题
第一个难题是需求与保护的平衡。情报需求总是希望获得更多、更敏感的信息，而保护来源要求限制请求的频率与敏感度。这个矛盾没有通用解法，只能具体问题具体判断。原则是：当需求的紧迫性高于来源暴露的风险时，才能提高请求强度；而这个判断必须由有权机关作出，不能由一线人员自行决定。
第二个难题是来源的心理状态。长期提供信息的人承受着持续的压力，可能出现焦虑、失眠、多疑、物质依赖等问题，也可能产生对经营者的情感依赖。前者影响信息的可靠性，后者影响关系的可控性。负责任的经营必须关注来源的心理状态，并在必要时提供支持与干预。这既是人道要求，也是专业要求。
第三个难题是关系的终止。任何关系都有一天要结束：来源职位变动、环境变化、风险过高、或者任务完成。终止的处理往往比开始更考验专业水平。处理不当可能造成来源暴露、心理崩溃、甚至报复。规范的终止包括：逐步降低联系频率、清除痕迹、安排合理的解释、以及在可能的情况下提供后续保障。
六、人力情报的三类固有局限
第一类是欺骗风险。对方可能从一开始就是被安排的，也可能在过程中被策反。人力情报史上最著名的失败案例几乎都与欺骗有关，而这些案例的共同点是：接收方在很长时间里无法识别，因为欺骗者提供的信息中夹杂着真实内容。对抗欺骗的唯一可靠方法是独立的核实渠道，而不是对来源的信任。
第二类是主观性。人力情报的产出是经过人的理解与转述的，天然带有主观色彩。即使来源完全诚实，他的观察也会受到自身立场、认知框架与信息环境的塑造。评估人力情报时，必须评估来源的认知位置，而不仅仅是他的诚实程度。
第三类是不可持续性。人力关系依赖具体的人，人员的变动、健康、家庭、情绪都会影响关系的存续。这使得人力情报的能力难以稳定积累，也难以在组织层面形成可继承的资产。解决方向是关系知识的显性化与团队化维护，但这始终只能缓解，不能完全消除。
七、伦理与法律边界
人力情报涉及对人的利用，因而其伦理与法律边界比其他门类更为敏感。几个必须明确的底线包括：不得以危害他人生命的方式获取信息；不得利用未成年人、不具备判断能力者或处于明显弱势地位者；不得在违反本国法律与他国法律的情况下开展活动；对所有行动必须有明确的授权与记录，接受监督。
中国的情报工作坚持依法办事，坚持党的绝对领导，坚持为人民服务的宗旨。这些原则不是附加的约束，而是工作正当性的来源。同学们在研究人力情报的专业方法时，必须同时掌握其法律与伦理边界，把“能不能做到”与“该不该做”分开思考。只讲技术不讲边界的专业教育，是不完整的，也是危险的。
第五节 人力情报（四）：三个案例的深度剖析
一、为什么要用案例来讲人力情报
人力情报的原理并不复杂，但它在实际应用中表现出的复杂性，远超原理本身。这种复杂性主要来自两个变量：人的不可预测性，以及时间的累积效应。一个在第一天看起来完美的判断，可能在三年后被证明完全错误，而错误的种子恰恰是在第一天埋下的。案例的价值，就是让这两个变量变得可见。
本节选取三个案例，分别对应人力情报的三类典型情境：被操纵的来源、被反转的关系、以及高价值但脆弱的来源。三个案例均来自公开出版物与解密档案，属于可公开讨论的学术材料。
二、案例一：被操纵的来源——欺骗是如何成立的
（一）情境
假设敌方反制机关发现了我方的一名来源，但没有立即抓捕，而是控制了他，让他继续向我方提供信息。此后，这名来源提供的信息中，一部分是真实的，一部分是精心设计的误导。这就构成了一个被操纵的来源。
（二）为什么难以识别
被操纵来源之所以难以识别，有三个机制。第一，真实与虚假的混合。如果提供的信息全是假的，很快就会因为与现实矛盾而被识破；夹带真实内容，则使来源保持了可信度。第二，信息的渐进性。误导不是一次性完成的，而是通过一系列看似自然的细节，逐步把接收方的判断引向某个方向。第三，接收方的心理投入。经营一个来源投入了数年精力与资源，承认它被操纵，等于承认这笔投入全部作废，这种心理成本会延迟识别。
（三）对抗的方法
对抗被操纵来源，没有百分之百可靠的方法，但有三条经验有效。其一，始终保持独立核实渠道。任何关键判断都不能只依赖单一来源，这是最基本也是最容易在长期合作中被放松的纪律。其二，关注信息的分布而非准确率。如果来源提供的信息总是恰到好处地印证我方的既有判断，这本身就是异常。其三，定期重新评估。把来源当作一个需要定期重新审视的对象，而不是一个已经解决的问题。
三、案例二：被反转的关系——双重身份的运作
（一）双重身份的两种形态
情报史上的“双重”现象有两种形态。一种是我方成功反转了对方的来源，使其为我方提供信息或传递误导，这是主动的、进攻性的形态；另一种是对方的反制机关反转了我方的来源，这是被动的、防御上必须警惕的形态。两种形态在技术上有相似之处，但性质完全不同。
（二）反转是怎么发生的
反转通常始于一个脆弱点：来源的动机出现动摇，或者来源因某个疏漏面临暴露风险。反制机关发现这个脆弱点后，给来源提供一个选择：合作，或者承担后果。此时来源的理性选择往往是合作，因为他认为继续合作的风险小于暴露的风险。
这个过程揭示了一个重要原理：来源的忠诚从来不是固定的，它是动机与环境条件的函数。环境条件一旦改变——比如对方的反制能力增强、来源的处境恶化、或者我方的需求压力过大——忠诚的均衡点就会移动。人力工作的本质，就是持续维护这个均衡点。
（三）反转后的信号
来源被反转后，通常会出现若干可观察的信号：联系频率与主动性发生变化，开始主动提供此前不愿触及的内容，对某些话题表现出异常的兴趣或回避，或者在细节上出现前后不一致。这些信号单独看都不构成证据，但组合起来应当触发重新评估。问题在于，这些信号也完全可能由其他原因引起，因此不能仅凭信号下结论，必须启动核实程序。
【为什么历史上的“双重”体系能够长期成功】
二战期间某国曾建立过一个较为完整的反转来源体系，其成功经验常被研究。它的关键设计有三条。
第一条是集中管理。所有被反转的来源由一个专门机构统一管理，不同来源之间、不同使用方之间严格隔离，避免信息串线导致暴露。
第二条是真实性管理。允许向对方传递相当数量的真实信息，以维持这些来源在对方眼中的可信度；只有在关键节点上才注入误导内容。这意味着必须有人有权决定：哪些真实信息可以让对方知道。这个决定级别很高，代价也很大。
第三条是反馈验证。通过截获对方通信，验证反转来源传递的信息是否被采信、是否产生了预期效果。没有这一条，整个体系就是盲目的。
三条之中，第二条最容易被忽视。它揭示了一个残酷的事实：要成功误导对手，必须先付出一些真实的代价。
四、案例三：高价值但脆弱的来源
（一）情境
冷战后期发生过一起著名的案例：一名在对方技术搜集机构工作的人员，因个人不满而向本国安全机关提供了一批内部文件，这批文件揭示了对方通过多种渠道获取西方技术的完整清单与运作方式。这批材料的价值极高，因为它不是零散的情报，而是对方整个体系的地图。
（二）价值来自哪里
这份材料的高价值，来自三个特征。第一是系统性。它揭示的不是某个具体行动，而是一套体系的组织结构、目标清单与工作方法。掌握体系，比掌握个案的价值高出一个数量级。第二是可验证性。清单上的每一项都可以与已知的案例对照，从而验证其真实性。第三是可操作性。拿到清单之后，可以逐项采取对策，而不是被动应对。
这三条构成了一个判断人力情报价值的通用标准：一份材料的价值，取决于它的系统程度、可验证程度与可操作程度，而不取决于它的密级高低或获取难度。一份高度机密但无法验证、无法使用的材料，价值可能低于一份密级不高但系统完整的材料。
（三）脆弱性来自哪里
这类来源的脆弱性同样突出。第一，动机是怨恨而非认同，一旦怨恨的对象消失或者发泄完毕，动机就会衰竭。第二，行为失控风险高。这类来源往往不是为了长期合作而行动，而是受情绪驱动，容易做出冒险举动。第三，暴露后后果严重。由于涉及体系性信息，对方一旦察觉，会投入大量资源追查，牵连面极广。
这三点提示了一个原则：对高价值来源，应当优先采取“有限使用、快速收割、及早收尾”的策略，而不是长期经营。因为这类关系的风险曲线随时间陡峭上升，而信息收益则很快趋于饱和。把高价值来源当作长期资产来经营，是常见且代价高昂的错误。
五、三个案例的共同启示
把三个案例放在一起，可以得出四条共同的启示。第一，来源的动机是动态的，任何时候的评估都只是快照，不是结论。第二，核实渠道的独立性是唯一可靠的防线，信任不能替代核实。第三，材料的价值与密级不成正比，与系统性、可验证性、可操作性成正比。第四，关系的价值随时间变化，不同类型的关系有不同的最优时长，不存在普遍适用的“越久越好”。
最后需要强调的是，中国的隐蔽战线和情报工作在长期实践中积累了丰富的经验，形成了自己的传统与方法。这些经验中大量的内容不适宜公开讨论，但其中可总结的方法论原则——重视调查研究、重视核实、重视长期考验、重视纪律与监督——与上述启示是相通的。同学们应当在学习外国公开案例的同时，注意领会中国自身的方法论传统，二者结合，才能形成完整的认识。
第六节 人力情报与其他门类的关系
一、四种基本关系
人力情报与其他门类之间不是并列关系，而是存在四种不同性质的互动：互补、指引、印证与纠偏。理解这四种关系，是把人力情报放进全源分析框架的前提。
互补指的是两者回答不同的问题，合起来才构成完整图景。技术门类回答有什么、在哪里，人力情报回答为什么、打算怎么办。指引指的是人力情报为技术门类提供目标：告诉它往哪儿看、什么时候看。印证指的是两者独立地指向同一结论，从而提高信心。纠偏指的是一方暴露另一方的误判。
二、指引：人力情报如何为技术搜集定向
这是人力情报最容易被低估的功能。技术搜集能力再强，也需要知道往哪儿看。卫星一次过境只能覆盖有限区域，信号截获需要知道该监听哪个频段、哪个号码，图像判读需要知道该关注哪个细节。所有这些“往哪儿看”的问题，往往由人力情报来回答。
由此可以得出一个重要判断：人力情报的价值不能只用“它直接提供了多少信息”来衡量，还要用“它使其他门类提高了多少效率”来衡量。一个来源提供的一条线索，可能使一次昂贵的侦察行动从无效变为有效，这种间接价值常常远大于直接价值。
这个判断对资源配置有直接含义。在评估人力工作时，如果把它的产出限定为“来源报告的数量与密级”，就会系统性地低估其作用。合理的评估应当包括它引发的其他门类的行动与成果。
三、印证：独立性的判断
人力情报与技术门类相互印证，是提高信心最有效的方式之一。但这里有一个关键前提：两者必须真正独立。判断独立性需要追溯信息链，尤其要警惕一种隐蔽的同源情形——来源所提供的信息，本身来自对方公开或半公开的材料，而技术门类所观测到的现象，恰好也是这些材料所描述的。这种情况下，两条信息看似独立，实际上共享同一个起点。
另一个需要注意的情形是：人力情报本身可能受到技术材料的影响。如果来源所处的信息环境包含了对同一现象的技术侦察结果的某种反应——比如对方因为察觉被侦察而采取了伪装措施，而来源观察到的是伪装后的状态——那么两者就不独立。这类二阶效应在评估时很容易被忽略。
四、纠偏：人力情报纠正技术误判
技术材料被误读，是情报史上反复出现的现象。人力情报纠偏的典型情形有两类。第一类是解释纠偏：技术材料显示某设施正在扩建，技术判读倾向于判断产能将大幅提升，而人力情报说明扩建的目的是安全防护或者政治展示，从而纠正了结论。第二类是存在性纠偏：技术观测显示某处“无异常”，人力情报说明该处已经停用或已转移，从而纠正了“无异常”这一判断的含义。
第二类的价值特别值得强调。技术材料的一个根本特征是：它只能记录被观测到的东西，观测不到不等于不存在。因此“图像上没看到”绝不等于“实际上没有”。人力情报能够提供否定性的知识——知道某处确实没有，而不是没看到。这种否定性知识在全源分析中极其宝贵，因为它能把“我们不知道”与“我们知道它没有”区分开来。
【一个反复出现的错误：把“没拍到”当成“不存在”】
某次评估中，分析部门依据连续多日的卫星图像判断某设施已停产，理由是“未见车辆活动”。此后人力来源报告该设施仍在运转，只是改为夜间作业并限制了车辆进出。
回头看，错误有三层。
第一层是技术层：卫星过境时间固定，无法覆盖夜间时段，覆盖本身有盲区。
第二层是判读层：判读人员把“车辆活动”当成了“生产活动”的唯一指标，而这一指标是可以被对方有意改变的。
第三层是组织层：提出这一判断时，没有人追问过“如果对方改变作业方式，我们还能看到什么”，也没有人去询问是否有其他途径可以核实。
三层之中，前两层是技术问题，第三层是流程问题，而流程问题才是根本原因。这正是全源分析强调“识别空缺并评估空缺影响”的原因。
五、反向关系：技术门类对人力情报的约束
前面讲的是人力情报如何帮助其他门类，反过来同样存在。技术门类对人力情报的约束体现在三个方面。第一，技术环境提高了人力工作的暴露风险，使某些传统的接触方式不再可行。第二，技术核实能力使来源提供的信息更容易被检验，从而降低了被欺骗的风险，也降低了对来源的依赖。第三，技术替代使某些过去只能靠人获取的信息变得可以自行获取，从而改变了人力工作的重心。
第三点在前面已经讨论过，这里补充一个推论：技术替代并不减少人力工作的必要性，而是提高了对人力工作质量的要求。当简单的事实性信息可以由技术获取时，人力工作的价值就集中在技术无法触及的领域——意图、关系、决策过程。这对从业者的素质提出了更高要求：他们需要具备理解复杂组织与复杂动机的能力，而不只是获取信息的能力。
六、整合中的三个常见问题
第一个问题是权重分配。当人力情报与技术材料冲突时，该相信谁？没有固定答案。一般来说，技术材料在事实层面更可靠，人力情报在解释层面更有价值。因此冲突时不应简单取舍，而应检查两者是否在不同层面说话——很多“冲突”实际上是层级错位。
第二个问题是密级隔离。人力情报的密级通常较高、知悉范围较小，而技术分析人员可能不具备相应权限。这会造成人力情报无法进入整合环节的实际困难。解决思路是把来源信息与判断分离：把可以在较低密级表达的内容提取出来，把来源细节留在高密级。这个思路与模块一讲过的密级处理原则一致。
第三个问题是时间尺度错配。人力情报的获取周期以月甚至年计，技术材料的更新以小时或天计。在一个快速推进的研判任务中，人力情报往往来不及参与。这不是人力情报的缺陷，而是它的性质所决定的。正确的做法是把人力情报用在它适合的环节：问题的定义与解释，而不是实时态势的更新。
七、中国实践中的门类统筹
中国的情报与安全工作在门类统筹上有自身的组织优势。党的集中统一领导提供了统筹的制度基础，专门工作与群众路线相结合提供了来源结构上的广度，依法办事提供了规范保障。在这种结构下，门类之间的关系较少出现因机构利益而形成的壁垒，更多表现为任务导向的协同。
同时也应当看到，任何大规模体系都存在分工带来的协调成本。中国的实践经验表明，解决这个问题的关键不在于取消分工，而在于坚持政治统领、坚持任务牵引、坚持依法规范。这三条正是中国体制优势在情报工作中的具体体现，也是本课程在讲授外国经验时始终强调不能照搬其组织形式的原因。
第七节 信号情报：定义、构成与原理
一、一个宽到出人意料的定义
信号情报的通行定义是：通过电磁波谱搜集的任何情报。这个定义之宽，常常让初学者意外。它不限于通信内容，不限于无线电，甚至不限于人工产生的信号。凡是通过电磁途径获取的信息，都归入这个门类。
定义的宽泛带来一个实际问题：把如此不同的活动归为一类，依据是什么？答案在于它们的共同基础——都依赖对电磁信号的接收、处理与判读，都依赖同一套基础设施（天线、接收机、频谱管理、信号处理），也都依赖同一种专业能力。换句话说，这个门类的边界不是按信息内容划的，而是按技术手段与专业能力划的。这一点非常重要，因为它意味着信号情报的边界会随技术演进而移动。
二、四个组成部分
（一）通信情报
指从通信中获取的信息，包括语音、电报、数据等。它是最为人们熟知的一类，也是影视作品中最常出现的一类。通信情报的产出可以是内容本身，也可以是通信的存在与模式——谁在什么时候与谁联系、联系多频繁、持续多久。后者被称为通信的外围信息，其价值常常高于内容本身，因为它不易伪装。
（二）电子情报
指从非通信的电磁辐射中获取的信息，典型对象是雷达、导航设备、武器系统的制导信号等。电子情报关心的不是这些系统“说了什么”，而是它们的技术参数：工作频率、脉冲特性、功率、扫描方式。掌握这些参数，就能识别系统类型、推断性能，并为对抗手段的设计提供依据。
（三）外国仪器信号情报
指从对方用于遥测、遥控、测试等目的的仪器信号中获取的信息。典型场景是武器试验：一枚导弹在试射过程中会不断发回自身的状态数据，这些遥测信号如果被截获，就能直接揭示其性能参数。这类信息的价值极高，因为它是由对方自己测量、自己报告的，准确度远高于外部观测的推测。
（四）计算机网络利用
指通过网络途径获取信息，包括侵入、植入、窃取等。这一类与前三类有本质区别：前三类接收的是自然辐射到空间的信号，属于被动接收；而这一类需要主动进入对方系统。这个区别在法律、伦理与风险性质上意义重大，是本节后面要重点讨论的问题。
【外围信息为什么常常比内容更有价值】
假设截获到一段通话，内容平淡，只说了几句日常安排。从内容看，毫无价值。
但如果记录下：通话双方是谁、在什么时间、持续多久、用什么设备、从什么位置发出、与近期其他通话的关系如何，那么信息量就完全不同了。
外围信息的价值来自三个特性。
其一，难以伪装。内容可以编造、可以使用暗语，但“在凌晨三点与某人通了十七分钟”这个事实很难通过事先安排来掩盖，除非对方知道自己在被监听。
其二，可以积累。单次的通话模式没有意义，但把半年的模式放在一起，关系网络、活跃周期、异常时点都会浮现出来。
其三，可用于验证。当某来源声称某两人没有联系时，外围信息可以直接证伪。
这三点说明一个道理：在信号情报中，元数据不是内容的附属品，它本身就是情报。
三、原理：为什么能截获，以及为什么越来越难
信号情报能够成立，依赖一个物理事实：电磁信号在空间中传播，不会完全被限制在发送者与接收者之间。通信要送达对方，就必然向外辐射；雷达要探测目标，就必然发射波束。只要辐射存在，就有可能被第三方接收。
但这个物理事实正在被技术演进所削弱。有三条技术路径使截获变得更困难。第一是加密。内容加密使截获者即使收到信号也无法读懂，这把信号情报的产出从内容推向了外围信息。第二是定向与低功率。定向天线、功率控制、扩频技术使信号的旁瓣辐射大幅降低，降低了被截获的概率。第三是有线与光纤。光纤不向外辐射，从根本上消除了截获的物理基础。
这三条路径的后果是：信号情报的重心在过去几十年中发生了显著转移。通信内容的可得性下降，外围信息与技术参数的价值上升；无线索取的难度上升，对特定目标的有针对性获取上升。这个转移对人力情报与网络情报提出了更高的要求，也解释了为什么后两者的重要性在上升。
四、工作流程的几个环节
信号情报的工作流程大体包括：任务下达与频率分配、接收与采集、预处理与筛选、解码与翻译、分析与判读、报告与分发。每一个环节都有其专业性，也都可能造成信息损失。
其中筛选环节最容易被忽视，也最容易造成系统性偏差。由于信号量极大，必须依靠规则进行自动筛选：哪些频率值得录、哪些通话值得转译、哪些内容值得报送。这些规则本质上是关于“什么重要”的判断，而任何判断都带有预设。如果规则设定为关注某些关键词，那么不使用这些关键词的通信就会被系统性遗漏。这种遗漏不会留下记录，因而在后续分析中完全不可见。这是信号情报最危险的一类盲区。
因此，信号情报的评估必须包含对筛选规则的审视：这条材料是怎么被挑出来的？什么样的材料会被漏掉？漏掉的部分会不会恰好是关键部分？这三个问题，与分析人员审视任何来源时应当问的问题是一致的。
五、局限：信号情报回答不了什么
第一，它难以回答意图。截获一段通话可以知道双方说了什么，但难以确定说话者是真心还是敷衍，是执行还是搪塞。意图的判断需要语境，而信号情报恰恰缺少语境。
第二，它对未发生的事情无能为力。信号情报记录的是已经发生的通信与辐射，对于尚未形成的计划、尚未启用的设备、尚未建立的关系，它没有信息。这个局限在分析新兴威胁时尤为突出。
第三，它容易被反制。一旦对方察觉被监听，可以通过改变通信方式、使用暗语、制造假通信来反制。更麻烦的是，对方可以故意通过被监听的渠道传递误导信息，而接收方很难判断这次的通信是真还是假。
第四，它存在语言与文化障碍。信号情报的产出通常需要翻译，而翻译不仅是语言转换，更是语境重建。一句在特定文化背景下含义明确的话，翻译后可能变得模糊甚至相反。这个环节的误差很少被计入不确定性评估，是一个长期存在的质量问题。
六、法律与伦理边界
信号情报涉及对他人通信的获取，其法律与伦理边界是所有门类中最受关注的。几个原则性的问题值得明确：对本国公民的大规模监听，在多数法治国家都需要明确的法律授权与司法或议会监督；对他国公民的大规模监听属于对外情报活动，受国际法与国家间关系约束；在和平时期对他国关键基础设施的网络侵入，其性质已经超出传统信号情报的范畴，涉及主权与国际法问题。
中国的立场是明确的：反对任何国家以安全为名大规模监听他国公民、侵入他国关键基础设施，主张在相互尊重主权的基础上开展网络安全合作，主张通过国际规则规范网络空间行为。本课程讲授信号与网络情报的技术原理，是为了理解其运作逻辑与防御方法，绝不是认同或推崇其对他国的侵犯性使用。这一点，同学们在撰写作业与论文时必须立场清楚。
第八节 信号情报的教学路径与两个历史案例
一、三条教学路径
劳伦斯·迪茨在《信号情报教学指南》中提出，讲授信号情报有三条路径：历史路径、技术路径与实践路径。这个划分看似简单，实际上抓住了这门学科教学的核心难题——它既高度技术化，又高度依赖经验，单纯走任何一条路径都会造成理解上的残缺。
二、历史路径：用事件讲机制
历史路径通过具体事件说明信号情报的运作方式与影响。它的优点是门槛低、具体生动、能够展示技术与人的行为之间的互动；缺点是容易变成故事集，学生记住了情节却没有理解机制。
要使历史路径有效，讲授时必须坚持一条原则：每个案例都要回答三个问题——技术上是怎么做到的，组织上是怎样运转的，以及它改变了什么判断。只讲情节不讲机制，历史路径就退化成了猎奇。
（一）案例一：一九一七年的一份电报
第一次世界大战期间，某国截获并破译了一份由交战一方外交部发给其驻外使节的长篇电报。电报内容涉及提议与第三国结盟、并允诺在其协助下收回失地。这份电报的破译与后续处理，对战局走向产生了实质影响。
这个案例在教学中至少说明四点。第一，破译的价值不仅在于读懂内容，还在于判断如何处理这份内容：直接公布会暴露破译能力，不公布又无法利用。第二，外交电报这类载体，其内容的重要性远高于外围信息，这与前面讲的外围信息优先原则形成对照，说明不同场景的侧重不同。第三，破译工作依赖语言学家、密码学家与区域专家的协作，是典型的跨学科工作。第四，利用破译成果需要政治层面的决断，技术本身不能决定使用方式。
（二）案例二：一九六八年的一艘船
冷战期间，一艘执行信号情报任务的船只被对方扣押，船员被俘，船上的设备与资料落入对方之手。这一事件在教学中有独特价值，因为它从失败的一面揭示了信号情报的脆弱性。
它说明四点。第一，信号情报平台本身是物理存在，会被发现、会被攻击、会被俘获。第二，平台上的资料如果来不及销毁，会造成能力、方法与人员的多重暴露。第三，这类任务的风险评估涉及国际法与外交后果，不是纯技术决策。第四，事件之后的处置——人员谈判、公开与否、后续任务调整——同样属于情报工作的组成部分，而且往往比技术环节更复杂。
【两个案例合起来说明了什么】
两个案例相隔半个世纪，一个成功、一个失败，把它们放在一起看，能得出三条共同结论。
第一，信号情报的关键环节不全在技术上。破译需要技术，但如何利用破译成果是政治判断；平台被俘是技术防护问题，但如何应对是外交与法律问题。
第二，能力一旦暴露就会失效。无论是公开破译成果导致对方更换密码，还是船只被俘导致设备与方法泄露，后果都是能力的快速贬值。这说明信号情报能力具有高度的时间敏感性，需要持续的更新投入。
第三，信号情报的成效高度依赖跨部门协作与高层决断。技术部门单独无法完成从截获到产生影响的全过程。
这三条中，第三条最容易被技术导向的教学所忽略，也最值得中国学生注意：情报工作在任何国家都不是纯技术活动，它是技术、组织与政治的复合体。
三、技术路径：用原理讲能力
技术路径从物理与工程原理出发，讲解信号如何产生、如何传播、如何被接收、如何被处理。它的优点是严谨、可推演、能够解释为什么某些事情做不到；缺点是门槛高，容易使学生陷入技术细节而忘记情报目的。
技术路径应当重点讲清四类内容：电磁波谱的划分与各频段的传播特性，这决定了什么距离上能收到什么；调制与编码的基本原理，这决定了信号如何承载信息与如何被保护；天线与接收的基本参数，这决定了灵敏度与方向性；以及信号处理的基本流程，这决定了从原始信号到可用信息之间的转换。
讲授技术路径时有一条重要提醒：不要追求完整。信号情报涉及的工程知识极其庞大，一门课不可能讲完。应当围绕“原理如何决定能力边界”这一主线来选择内容，凡与边界判断无关的细节，可以略过。
四、实践路径：用操作讲流程
实践路径让学生实际走一遍流程：给定任务，确定频率范围，接收信号，判断其类型，提取外围信息，尝试解码，撰写报告。通过实践，学生能够切身体会到理论教学中不会出现的困难：噪声干扰、信号重叠、语言障碍、判断不确定。
实践路径最有价值的部分，是让学生直面不确定性。一份信号情报报告，往往不能确定说话者是谁、不能确定内容是否真实、不能确定时间对应关系。学生亲手做过一次，才会理解为什么这类材料的信心等级通常不会太高，也才会理解为什么分析人员不能把信号情报当成确证。
本课程安排的实践环节是“读懂一份信号情报报告”，重点训练三项能力：识别报告中的术语与限定语，区分报告中的事实陈述与判读推断，以及判断报告未说明什么。这三项能力不依赖任何设备，却是从业者天天要用的基本功。
五、三条路径的配比与常见偏差
对不同类型的学生，三条路径的合理配比不同。对技术背景较强的学生，应当加大历史与政策内容的比重，防止他们只见技术不见应用；对人文社科背景的学生，应当保证足够的技术原理内容，防止他们把信号情报想象成无所不能的魔法。
最常见的偏差是过度依赖历史路径。原因很实际：故事好讲、好听、好记，而技术枯燥、历史档案复杂。但过度依赖历史路径会造成两个后果：学生对能力的理解停留在过去，以及学生无法判断当代技术条件下什么可行、什么不可行。本课程在讲授时会有意识地控制案例比重，每个案例讲完必须回到机制。
六、从教学路径看学科性质
三条路径并存这一事实本身，说明了信号情报的学科性质：它是一门技术、历史与操作实践交织的学科，任何单一视角都不完整。这也是为什么信号情报人员的培养周期长、专业化程度高。
对中国学生而言，这个观察有实际意义。在国家安全学、情报学的训练中，如果只重视理论与政策而完全不接触技术原理，就会丧失对能力边界的判断力；如果反过来只钻研技术而不了解政策与历史，就无法理解技术为什么被这样使用。合理的知识结构应当包括三块：基本原理、历史经验与政策法律。本课程的设计正是按这个思路安排的。
第九节 网络情报：从主机到网络的演进
一、为什么网络情报需要单独讲
道格拉斯·普赖斯的《网络情报指南》以时间顺序梳理了这一门类的演进。把网络情报单独作为一个主题来讨论，理由有三：它的技术基础与其他门类的差异极大；它的法律与伦理边界最为模糊；它的参与主体远远超出情报机构，包括大量企业与个人。
需要在一开始就说明一个概念问题：网络情报并不完全等同于计算机网络利用。后者是信号情报的一个子类，指通过网络途径获取信息；前者还包括对网络空间态势的整体理解、对威胁行为的识别与归因、以及基于网络公开与半公开信息的分析。范围上的模糊，正是这个领域命名的困难所在，模块六会专门讨论。
二、第一阶段：主机时代（一九六〇至一九七〇年代）
计算机技术应用于情报的早期，主要问题不是网络，而是主机本身的安全与共享。大型计算机价格昂贵、资源紧张，多个用户分时共享一台机器，由此产生了最早的安全问题：一个用户如何访问另一个用户的数据。
这个时期留下了一句被广泛引用的判断：人们认识到，在计算机上实现真正的安全隔离远比预想的困难。这句判断的意义在于，它预示了此后几十年的一个基本事实——复杂性是安全的敌人。系统越复杂、功能越多、接口越丰富，可攻击面就越大，而这一规律至今没有改变。
同一时期还出现了分时系统与调制解调器，使远程访问成为可能。远程访问一旦出现，物理边界就不再是安全边界。这个转变是根本性的：在物理边界时代，控制住机房就等于控制住了数据；远程访问出现之后，这个等式不再成立。
三、第二阶段：网络化时代（一九八〇至一九九〇年代）
进入一九八〇年代，计算机网络开始普及。这个时期发生了几件具有标志意义的事。其一是军用网络与民用研究网络的分离，这既是安全考虑，也造成了此后长期存在的军民技术分野。其二是个人计算机的大规模普及，使计算能力从机构扩散到个人，网络规模呈指数增长。
其三是出现了最早的有组织的跨境入侵事件。据公开史料记载，这一时期曾有某国情报机构资助他国的业余黑客，对西方军事与科研网络实施系统性的口令破解与数据窃取。这类事件的特殊性在于：行为主体与资助者分离，取证困难，后果却是真实的。它揭示了网络空间的一个长期特征——归因困难。
其四是出现了最早的规模化追踪案例。一位系统管理员注意到系统中一笔微小的账目不平，没有放过，而是持续追踪，最终发现这是一起跨境入侵的痕迹。这个案例的教学价值极高：它说明网络入侵在被发现之前可以持续很久，而发现的契机往往是一个微不足道的异常；也说明对抗网络威胁依靠的是持续的细致工作，而不是指望某一次英雄式的漂亮反击。
【为什么“账目差了几分钱”能破一起大案】
这个案例的关键不在于技术手段有多高明，而在于调查者的三个做法。
其一，不忽略小异常。系统的账目出现了几分钱的不平，多数人会选择调整账目了事。调查者却追问：为什么会不平？
其二，不急于切断。发现入侵后，他没有立即封堵，而是保持系统运行、持续观察，以便看清对方的行动路径与目的。
其三，跨界追查。他意识到问题不在自己的系统内，于是联系了电话公司、其他机构与执法部门，把零散线索拼成了完整链条。
这三个做法，与情报分析中“不忽略小异常、不急于下结论、善于跨界求援”是同一套思维。这说明网络情报与传统情报工作在方法论上是相通的，差别只在工具。
四、第三阶段：武器化时代（二十一世纪初至今）
进入二十一世纪，网络活动的性质发生了质变：从获取信息转向造成物理影响。这一转变的标志性事件是针对某国核设施的一套恶意代码。它的特殊性在于三点。第一，它是为特定目标定制的，针对的是特定型号的工业控制系统。第二，它需要进入物理隔离的网络，因而必然涉及非技术的环节。第三，它造成了实际的物理损坏，而不只是数据泄露。
这三点合起来，确立了一个重要判断：网络能力已经成为可以造成物理后果的手段。这一判断改变了情报与安全工作的性质判断，也改变了国际关系中的风险计算。对于任何国家而言，关键基础设施的网络安全从此具有了国家安全的含义。
同一时期，网络安全企业开始发布系统性的威胁行为报告，把某些持续性攻击活动归属于特定的组织或国家。这类报告的方法论意义重大：它把归因从政府声明变成了可检验的技术论证——通过代码特征、基础设施、活动时间规律等证据链来建立归属。同时也应看到，归因在技术上永远达不到司法证明的确定性，它提供的是一种有依据的可能性判断。
五、演进中的四条不变规律
普赖斯的叙述虽然按时间展开，但可以从中提炼出四条不变的规律，这些规律比具体事件更值得记忆。
·规律一：攻防不对称。攻击者只需找到一个弱点，防御者必须堵住所有弱点。这个不对称是结构性的，不会因技术进步而改变。
·规律二：复杂性是安全的敌人。系统越复杂，可攻击面越大。这条规律自主机时代至今始终有效，它意味着安全防护的根本策略是简化，而不是堆砌。
·规律三：归因困难且缓慢。网络活动的主体可以隐藏、可以转嫁、可以使用他人的基础设施。因此网络情报的归因结论几乎总是概率性的，必须按不确定性表达规范来表述。
·规律四：人与技术并重。无论技术如何演进，人的疏忽、人的贪婪、人的信任始终是链条中最脆弱的环节。这一点解释了为什么社会工程手段长盛不衰。
六、中国的立场与实践
中国是网络攻击的主要受害国之一，长期面临跨境网络入侵、关键基础设施威胁与网络窃密的现实压力。中国的立场是明确的：反对网络空间军事化，反对以安全为名侵犯他国主权与公民隐私，主张在联合国框架内制定网络空间国际规则，主张通过对话与合作维护网络空间和平。
在国内实践上，中国高度重视关键信息基础设施保护，建立了网络安全等级保护制度、关键信息基础设施保护制度与数据安全、个人信息保护的法律框架，强调安全与发展并重。在人才培养上，中国强调网络安全的防御性定位，培养的是保护国家关键信息基础设施的能力。
对同学们的学习有两点具体要求。第一，理解攻击技术的目的是为了更好地防御，研究相关案例时应当把重点放在防御启示上，而不是技术细节的猎奇。第二，涉及网络攻击方法的任何内容，都不得用于实际操作，也不得在非授权环境中试验。这是法律底线，也是职业底线。
第十节 网络情报的特殊属性
一、属性一：虚实交织
网络情报面对的对象，既有真实世界的基础，又有虚拟世界的构造。一个网络身份背后可能是一个人、一群人、一个自动生成程序，也可能什么都没有。这种虚实交织带来了一个其他门类没有的困难：对象的存在性本身就是需要判断的问题，而不是给定的前提。
在人力情报中，来源是不是真人，通常不成问题；在图像情报中，图像上的物体是不是真实存在，通常也不成问题。而在网络空间，一个账号、一段代码、一次攻击活动，其背后是否有一个真实的、有意图的主体，本身就是分析的核心问题之一。这个特性使网络情报的分析负担显著高于其他门类。
由此产生的实践要求是：网络情报的结论必须区分层次。可以说“观测到某基础设施发起了某类活动”，这是可观测事实；可以说“该基础设施与此前某次活动所用基础设施存在技术关联”，这是技术判断；可以说“该活动很可能由某组织实施”，这是归因判断。三层结论的证据强度与信心等级完全不同，不能混用。
二、属性二：公私边界模糊
网络空间的关键基础设施、主要平台与核心技术，大部分由私营部门掌握。这造成了一个独特的局面：情报工作所需的大量数据与能力，不在政府手中。政府必须依赖企业的配合、企业的产品、企业的研究报告。
这种依赖带来三方面影响。第一，情报机构与企业的关系成为制度性问题。合作的边界在哪里？企业是否有义务配合？配合的范围由谁决定？这些问题在各国都有激烈争论，答案各不相同。第二，企业的商业利益与公共安全目标并不总是一致。企业有保护用户数据、维护品牌信任的动力，也有避免过度披露以免影响业务的顾虑。第三，企业发布的研究成果已成为公开情报的重要来源，其质量参差，需要评估。
对中国而言，这个问题的处理方式有自身特点。法律明确规定了网络运营者的安全保护义务与协助义务，强调统筹安全与发展。这一制度安排的优势在于边界清晰、责任明确，避免了合作完全依赖自愿带来的不确定性。
三、属性三：攻防一体
在其他门类中，获取能力与防护能力通常分属不同领域：侦察卫星负责看，反侦察手段负责不被看，两者可以是不同的人在做。而在网络空间，获取信息的能力与实施破坏的能力在技术上高度同源：能够进入对方系统获取数据，通常也就能够植入破坏性代码；能够防御自己的系统，通常也就掌握了发现对方弱点的技术。
这个特性带来了三个后果。第一，防御性活动容易被误解为进攻性准备。一国加强关键基础设施防护、开展网络演习，可能被对方解读为攻击准备，从而引发安全困境。第二，能力的保密与威慑之间存在张力。展示能力可以产生威慑，但会暴露方法与边界；完全保密则难以建立威慑。第三，一旦植入攻击性代码，其影响难以控制，可能扩散到预定目标之外。
第三点在现实中已经得到印证：一些最初针对特定目标的恶意代码，后来扩散到了全球范围，造成了超出设计者预期的损失。这个教训的技术含义是：网络武器的可控性远低于传统武器；其战略含义是：使用网络攻击手段的政治与伦理代价，可能远超预期收益。
【网络归因：为什么说它是概率判断而非事实认定】
一份高质量的网络归因报告，通常会列举以下几类证据：代码中的语言特征与编译环境、所用基础设施的历史归属、活动时间与目标选择符合某方的利益、活动时间规律符合某方的工作时区、以及与其他已知活动的技术重叠。
这些证据合起来能说明什么？能说明“该活动与某方存在较强关联”。
它们不能说明什么？不能排除“有人刻意模仿某方的特征以嫁祸”这一可能，也不能排除“某方内部的人员自行其是、未获授权”这一可能。
因此，规范的表述应当是：该活动很可能由某方实施（信心较高），依据是一二三；但我们无法排除嫁祸的可能，这是我们信心未达更高的原因。
把归因结论写成“某方所为”，是网络情报中最常见也最具后果的表述错误。一旦被写成事实，它就会进入决策链条，而决策者无从知道其证据强度。
四、属性四：速度极快
网络活动的速度以毫秒计，漏洞从发现到被利用的窗口以天甚至小时计。这个速度特征对其他门类的节奏提出了挑战：人力情报以月计，图像情报以天计，网络情报以秒计。在一个涉及网络威胁的研判任务中，如何让不同速度的门类协同，是一个实际的组织难题。
解决思路不是让所有门类的速度都提上来，这做不到；而是分层处理。实时层面由自动化系统处理告警与初步响应；战术层面由专业团队在小时尺度上分析；战略层面由分析人员在周与月的尺度上研究趋势与归因。三个层面各自有明确的产品形态与交付对象，不必强行统一。
这个思路与军事情报支援中的战略、作战、战术三层划分是一致的，属于大型情报体系的通用组织方法。本课程后面讲军事情报支援时会再次遇到。
五、属性五：证据脆弱
网络证据极易被销毁、被篡改、被伪造。一条日志记录可以被修改，一个时间戳可以被调整，一段代码可以被植入以嫁祸他人。这使网络情报的证据价值具有先天的脆弱性。
应对的办法有三条。第一，及时固定。发现即固定，固定时保留完整的哈希与取证链。第二，多方印证。不同来源、不同位置的独立记录相互印证，比单一日志可靠得多。第三，明确标注证据性质。在报告中说明每条证据的获取方式、保管链条与可能被质疑之处。
这三条中，第三条在情报产品中最容易被省略，而它恰恰是最重要的。因为网络情报的使用者——决策者、司法人员、或国际合作方——往往不具备判断证据强度的专业能力，只能依赖分析人员的诚实标注。
六、网络情报在全源分析中的位置
综合上述五个属性，可以确定网络情报在全源分析中的定位。它的优势在于：速度快、可获取其他门类难以触及的内容、能够提供大量外围信息与技术细节。它的劣势在于：归因不确定、证据脆弱、对象虚实难辨、法律边界模糊。
因此，在网络情报与人力情报、图像情报等门类整合时，有一条实用原则：用网络情报发现线索与细节，用其他门类验证归因与意图。换句话说，网络情报擅长回答“发生了什么、怎么发生的”，而“谁干的、为什么干”通常需要其他门类的配合。这条原则在模块四讨论恐怖主义分析与防扩散时会反复用到。
最后要强调：本课程讨论网络情报，立足点是防御。中国面临严峻的网络安全形势，研究网络情报的原理与案例，目的是提高防护能力、提高归因能力、提高在规则制定中的话语能力。任何把网络攻击能力当作值得追求的目标的理解，都与本课程的立场相悖。
第十一节 图像情报（一）：定义、传感器与机构
一、定义与特殊性
图像情报，指通过成像手段获取、并经判读转化为可用信息的情报。它的特殊性在于，它是所有门类中最直观、最容易被人理解，也最容易被误判为“眼见为实”的一类。
这个特殊性有其心理学根源：人类高度依赖视觉，对图像的信任度天然高于文字。这种信任在多数情况下是合理的，但在情报场景中会造成系统性风险——图像显示的只是表面，而表面的意义需要判读；同时图像只记录了被拍摄到的部分，未拍摄到的部分不会留下痕迹。
二、传感器的主要类型
成像手段按工作原理可以划分为若干类，各有各的适用范围与局限。
（一）常规胶片与光电成像
最早的航空与航天侦察使用胶片，返回后冲洗判读；此后发展为光电数字成像，直接生成数字图像。光电成像的优点是直观、分辨率高、判读门槛低；缺点是依赖光照（夜间受限）与天气（云层遮挡）。
（二）红外成像
记录物体的热辐射而非反射光。它的核心价值在于揭示可见光下看不到的信息：夜间活动的车辆、正在运转的设备、地下设施的热异常、以及伪装网下的真实物体。红外的局限是分辨率通常低于可见光，且受环境温度影响大，白天与夜间的对比度会反转。
（三）雷达成像
主动发射电磁波并接收回波成像。它的最大优势是不受光照与云雨影响，可全天时全天候工作，且对某些材质与几何形状敏感。其局限是图像不直观，判读需要专门训练；且存在特有的几何畸变（如叠掩、阴影、透视收缩），容易误判。
（四）全动态视频
对目标区域连续成像，形成视频流。它的独特价值在于揭示运动与过程：车辆的行驶路径、人员的进出规律、活动的时序关系。这在目标分析与作战支援中极其重要。其局限是数据量极大，覆盖范围受限，且需要长时间的监视资源投入。
【为什么雷达图像看一眼就容易看错】
雷达是侧视成像，且测量的是距离而非角度，这导致三类典型的判读陷阱。
其一，叠掩。朝向传感器一侧的坡面被压缩，甚至使山顶与山脚在图像上重叠，看起来像是异常高大的物体。
其二，阴影。背向传感器的一侧没有回波，形成暗区。暗区中什么都没有，但初学者常把它当成“有某种物体”。
其三，方位歧义。同一个物体的雷达特征随观测方位变化很大，同一型号的车辆从正面与侧面看可能判成不同型号。
这三类陷阱的共同点是：图像上的“异常”未必对应现实中的异常，它可能纯粹由成像几何造成。
对抗办法只有两个：使用同一区域的多次、多方位成像交叉比对；以及由经过专门训练的人员判读，并且标注判读的信心等级。这两个办法，本质上就是全源分析中的交叉验证与来源评估。
三、主要机构与力量分布
图像情报的工作通常由两类机构承担：一类负责获取与处理，一类负责判读与分析。在美国体系中，图像情报主要由国家地理空间情报机构承担，其二战后的机构沿革在下一模块详述；此外，各军种的航空与航天侦察力量也设有专门的判读单位，负责面向作战需求的分析。
这种“获取集中、判读分散”的结构有其合理性：获取能力昂贵且通用，应当集中建设与使用；判读能力需要贴近具体需求，应当分布在使用方。但它也带来一个长期存在的问题：判读标准不统一。不同单位的判读人员对同一幅图像可能给出不同结论，而他们彼此并不知道对方的存在。
这个问题的解决办法是建立统一的判读标准与判读人员认证制度，以及建立判读结果的共享与比对机制。这些措施听起来技术性很强，实质上仍然是模块一讨论的组织问题：如何使分布的专业能力形成合力，而不是各自为政。
四、图像情报回答什么问题
图像情报最擅长回答三类问题：存在性问题（某物是否存在于某处）、状态性问题（它处于什么状态，是在建、在用、还是停用）、以及变化性问题（与上次相比有什么变化）。这三类问题有一个共同特征：都是关于可观测的物理事实。
在存在性问题上，图像情报的价值最高，因为它提供的证据最直观，也最容易与其他信息交叉验证。在状态性问题上，它同样有效，但需要判读经验，且常常需要结合其他信息才能确定。在变化性问题上，它的价值取决于时间序列的完整性：有没有历史图像作为基线，两次成像的条件是否可比。
需要提醒的是第三类问题中的一个陷阱：成像条件变化会造成虚假的变化。不同季节的植被、不同时段的阴影、不同传感器的分辨率差异，都可能被误判为目标的真实变化。专业的做法是建立严格的可比性检查：同季节、同时段、同传感器、同处理流程。做不到这些，变化判断的信心必须下调。
五、局限：图像情报回答不了什么
第一，它看不到内部。图像记录的是外部形态，对于建筑内部、地下设施、集装箱内部、加密设备之中正在进行的事情，光学与雷达成像都无能为力。这个局限是根本性的，不是分辨率能够提高的。
第二，它看不到意图。图像可以显示导弹被运出发射场，但无法说明这是一次试验、一次部署、还是一次转移。同样的物理动作对应完全不同的意图，区分它们需要其他门类。
第三，它看不到未来。图像记录的是拍摄瞬间的状态，对未来的推断完全依赖分析人员的判断，而图像本身不提供预测能力。历史上多次误判都源于把“当前状态”直接外推为“未来趋势”。
第四，它可能被欺骗。伪装、假目标、时间安排都可以使图像产生误导。而欺骗的代价很低：一个充气模型在某些波段上与真实装备高度相似。这个不对称——欺骗成本低而识别成本高——是图像情报的固有弱点。
六、中国的相关实践与立场
中国的航天与遥感能力在过去数十年中取得了长足进步，形成了气象、海洋、资源、环境减灾等多个民用遥感卫星系列，以及高分辨率对地观测系统。这些能力主要用于国土调查、农业估产、环境监测、灾害评估、城市规划等民用领域，同时也为国家安全提供了重要支撑。
在灾害评估与国际人道主义援助方面，中国多次向其他国家提供卫星遥感数据支持，体现了负责任大国的担当。这与本课程后面将讨论的救灾情报保障主题直接相关，也体现了中国倡导的共同安全、合作安全理念。
需要明确的是，中国的遥感与航天活动坚持和平利用原则，反对外空军事化与军备竞赛，主张通过国际合作共同应对安全挑战。这与某些国家把太空明确界定为作战域、大力发展进攻性太空能力的做法，在立场上有着根本区别。
第十二节 图像情报（二）：一部简史
一、为什么图像情报需要讲历史
罗伯特·迪普雷的《图像情报指南》按四个时期讲述这门学科的简史：两次世界大战时期、冷战年代、无人机与合成孔径雷达的现代时期，以及未来趋势。之所以要讲历史，是因为图像情报的每一次重大变化都不是单纯的技术升级，而是技术、组织与需求三者共同作用的结果。只看今天的技术，无法理解为什么事情会是现在这个样子。
二、前史：摄影术之前与摄影术之初
在摄影术出现之前，获取敌情地形与目标信息主要依靠人力侦察与绘图。侦察兵的观察受限于视野、受限于记忆力、也受限于主观描述带来的失真。绘图能够保存信息，但其准确性取决于绘图者的能力与立场。
十九世纪三十年代摄影术出现，很快就被用于军事目的。摄影的价值在于机械记录：它不依赖记忆，不依赖描述，理论上不带主观性。这个特性在当时的意义极为重大——它第一次使“所见即所得”成为可能。
摄影术在战争中的早期大规模应用，出现在一场内战中。一位摄影师系统拍摄了战场、营地、工事与人员，留下了大量影像。这些影像在当时的直接情报价值有限，因为它们无法及时传递；但它们确立了一个观念：影像是可以被系统收集、存档与研究的资料。这个观念是后来图像情报学科的基础。
三、两次世界大战时期
载人气球是最早的空中侦察平台。它的优势是能够悬停、视野开阔；劣势是笨重、易被击落、受风影响大。气球侦察在十九世纪与二十世纪初被广泛使用，确立了“高度带来视野”这一基本原则。
第一次世界大战中，飞机取代气球成为主要平台，航空摄影成为常规作业。这一时期的三个进展值得记住。第一是形成了系统的拍摄规范：重叠率、航向、标注，这些看似琐碎的规范决定了照片能不能被用于测量。第二是发展了立体判读：通过重叠影像的立体观察判断高度与地形，这使照片从“图”变成了“数据”。第三是形成了判读专业人员队伍：判读不再是任何人都能做的事，而成为一门需要训练的技术。
第二次世界大战中，航空摄影的规模与精细度大幅提升。这一时期出现了一个有趣的术语，用来指那些反复出现在照片上、判读人员早已熟悉的目标：固定的桥梁、营房、码头。判读人员对这些目标如数家珍，一眼就能认出，因而给它们起了亲昵的绰号。这个细节揭示了一个重要的专业现象：判读能力的核心不是认出物体，而是认出变化。只有对常态极度熟悉，才能发现微小的异常。
【“认出变化”为什么是判读的核心能力】
假设一名判读员第一次看某空军基地的照片，他能说出那里有多少架飞机、什么样的机型。这有价值，但不是最有价值的。
最有价值的是另一件事：他知道这个基地平时停多少架、停在哪个位置、加油车通常停在哪里、地勤人员的活动区域在哪里。有了这层熟悉，他才能发现“今天多了两架不寻常的机型”“加油车的位置不对”“地勤区域异常安静”这类细微变化。
这类变化往往才是预警信号。
这带来两个专业要求。
第一，判读人员必须长期跟踪同一目标，频繁轮换会造成能力损失。
第二，必须建立目标基线档案并持续更新，把“常态”从个人记忆变成可继承的组织资产。
这两个要求，与人力情报中强调的“长期经营”和“关系知识显性化”是同一个道理。不同门类的深层规律，往往是相通的。
四、冷战年代
冷战对图像情报提出了前所未有的需求：需要对一个幅员辽阔、高度封闭的国家进行长期、系统的监视。这个需求在技术上推动了三个方向的突破。其一是高空侦察平台，能够在对方防空范围之上飞行。其二是卫星平台，从根本上解决了进入拒止区域的问题。其三是精细判读方法，能够从有限的分辨率中榨取最大信息。
这一时期形成的另一个重要能力是判读的系统化。面对海量图像，必须建立标准化的判读流程、统一的术语与规范的报告格式。这套体系使不同判读人员的结论可以互相比较、可以汇总统计，从而支撑起关于对方实力的系统性评估。
冷战也暴露了图像情报的固有弱点。由于对方了解被侦察的事实，可以采取伪装、隐蔽、时间安排等反制措施。同时，图像情报的积累容易造成一种错觉：因为看得多了，就以为看懂了。事实上，看到部署不等于理解意图，这个局限在整个冷战期间反复造成误判。
五、现代时期：无人机与合成孔径雷达
这一时期的两个技术标志是无人机与合成孔径雷达。无人机的意义不只是“无人驾驶”，而是彻底改变了监视的时间尺度。有人驾驶平台受限于航时、受限于飞行员生理极限，通常只能提供断续的“快照”；无人机可以长时间滞空，提供持续的“凝视”，从而能够观察过程而不仅是状态。
合成孔径雷达的意义则是突破了天时限制。它不依赖光照，不受云雨影响，可以提供真正的全天时全天候成像。这两项技术结合起来，使图像情报从“定期拍照”变成了“持续监视”。
这个转变的深远后果是：图像情报从一种主要用于战略评估的手段，变成了可以用于战术行动的实时支援手段。同时它也带来了新的问题——数据量爆炸、监视持续化带来的法律与伦理争议、以及目标分析这一新职业的形成。这些问题在恐怖主义分析与执法情报两节中还会遇到。
六、趋势与启示
展望未来，图像情报有四个可辨识的趋势。第一是平台多样化：从大型卫星到中小型卫星、从高空长航时无人机到小型战术无人机，形成多层次体系。第二是商业化：高分辨率商业遥感图像的普及，使图像情报不再是少数国家的垄断能力。第三是自动化：自动目标识别与变化检测技术，正在把判读人员从重复劳动中解放出来。第四是融合化：图像与其他门类数据在底层被整合，形成统一态势。
这四条趋势带来的共同挑战是：当所有人都能够获取高分辨率图像时，图像本身不再是优势，优势转移到判读能力、数据整合能力与响应速度上。这个判断对资源配置有直接含义——投资判读与分析，比投资更多的平台更为关键。
对中国的启示是明确的。中国的遥感能力建设已经取得显著成绩，下一步的关键在于提升判读与分析能力、提升多源数据整合能力、提升面向实际需求的响应速度。同时，应当继续坚持和平利用、开放合作的方向，在灾害监测、环境监测、农业估产等领域扩大国际合作，把技术能力转化为国际公共产品。
第十三节 图像情报（三）：现代技术能力与未来
一、分辨率不是全部
讨论现代图像情报，人们最先想到的往往是分辨率：能看到多小的东西。分辨率当然重要，但把它当作唯一指标会造成严重误判。衡量一套成像系统的实际能力，至少需要五个维度。
·空间分辨率：能分辨的最小物体尺寸。它决定了“能不能看到”。
·时间分辨率：同一区域重复成像的频率。它决定了“能不能看到变化的过程”。
·光谱分辨率：能区分的波段数量与宽度。它决定了“能不能看出材质与状态”。
·辐射分辨率：能区分的亮度差异级数。它决定了“能不能识别细微差别”。
·覆盖范围：单次成像能覆盖多大面积。它决定了“能不能做普查而非抽查”。
五个维度之间存在制约关系：提高空间分辨率通常会缩小覆盖范围，提高光谱分辨率通常会降低信噪比。因此不存在“全面最优”的系统，只有针对特定任务的最优组合。理解这一点，才能理解为什么现实中需要多平台配合，也才能理解为什么单一系统的情报价值有限。
二、无人机带来的范式变化
无人机对图像情报的改变，常被简化为“更安全、更便宜”。这个理解不完整。真正深刻的变化有三点。
第一点是从快照到凝视。有人平台一次过境只能得到一张照片，反映的是那一刻的状态；无人机可以持续观察数小时甚至数十小时，能够看到车辆驶入、人员聚集、活动结束的完整过程。过程信息包含的因果线索，是快照无法提供的。
第二点是从计划到随机。卫星轨道固定，过境时间可预测，对方可以据此安排活动；无人机可以随时出现在任意位置，大大压缩了对方规避的空间。这个优势在应对分散、流动的目标时尤其关键。
第三点是从稀缺到充裕。无人机的使用成本远低于卫星与有人侦察机，因而可以从“节省着用”变成“常态化使用”。充裕带来的变化是质变：可以对同一区域建立连续的观察序列，从而建立起关于常态与异常的统计认识。
【“凝视”改变了什么：一个对比】
快照模式下，某天拍到某院落内有十二个人。这个数字说明不了什么——不知道他们是刚到、正要走、还是常住。
凝视模式下，观察到：清晨有三人从侧门进入；上午陆续又有九人从不同方向到达；中午院内活动增多；下午四时后人员陆续离开，最后只剩两人留守。
同样的十二个人，凝视模式提供的是一幅有结构的图景：这是一次有组织的聚集，有集散规律，有留守安排。据此可以推断该处的功能与重要性，也可以选择最佳行动时机。
这个对比说明，时间维度的信息量与空间维度的信息量同样重要，而在传统的图像情报观念中，时间维度长期被忽视。
这也提示了一个评估要点：拿到一份图像情报时，除了问“拍到了什么”，还必须问“拍了多久、拍了几次、中间发生了什么”。
三、合成孔径雷达的独特价值
合成孔径雷达的核心价值有三条。第一是全天时全天候，不受云雨与光照限制，这在多云多雨地区与极地地区具有决定性意义。第二是对形变敏感，干涉测量技术可以探测地表毫米级的形变，用于监测地面沉降、滑坡、火山活动、以及地下工程造成的地表变化。第三是对某些材质敏感，可以穿透植被与干燥地表，揭示被遮蔽的物体。
第二条在民用与减灾领域的价值尤其突出。地表形变监测可以用于城市地面沉降预警、水库大坝安全监测、矿区塌陷监测、以及地震前后的形变场分析。这些应用与国家安全的关系在于：基础设施安全、地质灾害防治、重大工程安全，都属于总体国家安全观所涵盖的领域。
同时也必须承认合成孔径雷达的判读难度。它不直观，几何畸变多，且同一物体在不同参数下表现差异大。这造成一个现实问题：雷达图像的判读人员培养周期长，人数少，是各国普遍存在的瓶颈。这再次印证了前面提出的判断——投资判读能力比投资平台更为关键。
四、自动化的机会与陷阱
自动目标识别与变化检测是当前发展最快的方向。它的价值在于处理海量数据：卫星星座每天产生的数据量已远超人工判读能力，自动化是唯一出路。但自动化带来三类陷阱，必须警惕。
第一类是训练数据偏差。自动识别系统的性能取决于训练数据。如果训练数据中某类目标样本少，系统对这类目标的识别率就低，而这个缺陷不会在总体准确率指标中体现出来。第二类是置信度误读。系统输出的置信度是统计量，不是概率判断，把它直接当成判断的信心等级会造成系统性高估。第三类是人类监督退化。当系统长期表现良好，人类监督者会倾向于默认接受系统结论，从而在系统出错时无法发现。
应对的办法是三条：保留人工抽检制度，且抽检比例不能因为系统表现好而降到零；建立系统性能的持续监测，特别关注罕见类别；以及在任何自动识别结论进入情报产品时，明确标注其为自动识别结果及其置信度。
五、商业化的双重影响
商业遥感的发展使高分辨率图像成为可以购买的商品，这带来了三方面的深刻变化。第一，打破了垄断。过去只有少数国家能够获取高分辨率图像，现在许多国家、机构甚至个人都能获得。第二，提高了透明度。重大事件发生时，商业图像往往很快出现，使隐瞒事实变得更加困难。第三，也带来了风险。恐怖组织、犯罪集团同样可以获取这些图像，用于选择目标。
对情报工作的具体影响是：图像本身不再构成情报优势，优势转移到三个地方——判读与分析的深度、与其他门类整合的能力、以及获取时效。这与前面提到的资源配置判断是一致的。
对中国的意义有两层。一方面，商业遥感的普及使中国在灾害监测、环境评估、国际援助等领域有了更多可以使用的手段，也便于在国际合作中提供数据支持。另一方面，也要认识到自己的关键设施同样暴露在商业遥感之下，因而必须把反侦察、伪装与信息管控纳入日常安全管理。
六、未来趋势的四个判断
·判断一：平台将从大型走向分布式。少量大型卫星正在被大量中小型卫星组成的星座取代，代价更低、韧性更强、重访更密。
·判断二：判读将从人工为主走向人机协同。人工判读不会消失，但会从“看图”转向“定义问题、训练系统、核验结果”。
·判断三：图像将融入多源融合。单独的图像产品会减少，图像将作为多源态势的一部分被使用。
·判断四：法律与伦理约束会加强。持续监视能力的普及必然引发关于隐私、主权与正当性的争论，各国都需要建立相应的规范框架。
第四个判断特别值得中国学生关注。中国在数据治理、个人信息保护、关键信息基础设施保护方面已经建立了较为完善的法律框架，这既是国内治理的需要，也为参与国际规则制定提供了基础。如何在保障安全与保护权利之间取得平衡，将是未来长期的研究课题。
第十四节 模块二小结、研讨与实训
一、三个门类的对照小结
本模块十六学时，讲了三个门类。把它们放在一起对照，可以更清楚地看到各自的定位。
·人力情报：核心优势是回答意图与内部关系，核心局限是易被欺骗、主观性强、依赖具体的人。时间尺度以月与年计，成本结构是长期投入。
·信号情报：核心优势是获取难以接触的通信与技术参数，核心局限是难以回答意图、易被加密与反制。时间尺度以秒与小时计，成本结构是基础设施投入巨大。
·网络情报：核心优势是速度快、可达性强、外围信息丰富，核心局限是归因不确定、证据脆弱、法律边界模糊。时间尺度以毫秒与天计，成本结构是人才密集。
·图像情报：核心优势是直观、可验证、适合回答存在性与变化性问题，核心局限是看不到内部与意图、易被欺骗。时间尺度从历史照片到实时视频不等，成本结构是平台昂贵。
四个门类的时间尺度差异极大，这决定了它们能支撑不同类型的判断。全源分析的难点之一，就是如何把这些不同节奏的材料放进同一个分析框架。这一点在模块四、模块五的应用领域会变得非常具体。
二、贯穿三个门类的四条共同规律
第一，能力越强，越容易高估。信号情报能截获通信，就容易以为知道了对方在想什么；图像情报能看清部署，就容易以为知道了对方的打算；网络情报能进入系统，就容易以为掌握了全部事实。这三种高估，是情报史上最常见的错误来源。
第二，看不见不等于不存在。图像拍不到，可能只是时机不对；信号收不到，可能只是换了频段；网络上查不到，可能只是用了别的身份。把“没有材料”等同于“没有问题”，是最危险的推理错误。
第三，反制成本低于获取成本。伪装比侦察便宜，加密比破译便宜，欺骗比核实便宜。这个不对称是结构性的，它意味着任何单一门类的成果都必须被谨慎对待，不能被当作确证。
第四，人的因素始终是核心。信号需要人判读，图像需要人判读，网络证据需要人分析，人力情报本身就是人的活动。技术变化了，这一点没有变。因此人才培养始终是所有门类的共同瓶颈。
三、研讨题
·研讨题一：有人认为，随着技术搜集能力的增强，人力情报的重要性将不断下降。请结合本模块内容，分析这一判断是否成立，并说明人力情报的核心价值是否会发生变化。
·研讨题二：请举一个例子，说明在两个门类的材料相互冲突时，如何通过检查“它们是否在不同层面说话”来解决冲突。
·研讨题三：网络情报的归因结论通常是概率性的。请讨论：这种概率性结论应当如何进入决策流程，决策者需要被告知什么？
·研讨题四：图像情报从“快照”走向“凝视”之后，带来了哪些新的法律与伦理问题？请结合中国的法律框架，讨论应当如何规范。
·研讨题五：有观点认为，商业遥感的普及削弱了国家情报能力。请分析这一观点，讨论垄断被打破之后，情报优势究竟转移到了哪里。
四、实训任务二：门类定位练习
本模块安排一次两学时实训，主题是“为问题选择门类”。练习分两步。
（一）第一步：问题分解与门类匹配
教师给出一个综合性问题，如“某地区在未来三个月内是否可能发生大规模人口流动”。学生把问题分解为若干子问题，为每个子问题指定最合适的门类，并说明为什么选择该门类而不是其他门类。要求至少说明一个被排除的门类及其排除理由。
（二）第二步：局限清单
为每个子问题所选的门类，写出三条局限，其中必须包含一条“该门类会系统性地漏掉什么”。这一步的目的是训练学生主动思考盲区，而不是只想着怎么获取材料。
完成后以小组为单位交流，教师点评的重点是：学生是否真正理解了各门类的适用边界，以及是否意识到有些子问题当前没有任何门类能够有效回答。承认不可答，是专业性的体现。
五、实训任务三：读懂一份技术来源报告
第二次实训同样是两学时，主题是“读懂一份图像情报报告与一份信号情报报告”。教师提供两份经过脱密处理的模拟报告，学生需要完成三项任务。
·任务一：标出报告中所有的事实陈述与所有推断陈述，用不同符号标注。多数学生会发现推断比预想的多得多。
·任务二：找出报告中所有的限定语与信心表述，判断它们是否符合规范，如有含混之处，改写为规范表述。
·任务三：列出报告中未说明的事项，包括成像时间、成像条件、处理方式、判读人员资质等，并评估这些缺失对结论信心的影响。
这个实训的价值在于让学生亲身体会：技术来源的报告远不像数字那样客观，它充满了人的选择与判断。认识到这一点，是正确使用技术材料的前提。
【模块二结束后，你应当能够回答的六个问题】
第一问：如果只有一条材料，且来自某单一门类，你能说出它最可能的三类错误来源吗？
第二问：如果两份材料冲突，你能说出三种可能的原因，而不只是“有一份是错的”吗？
第三问：你能对任意一个门类，说出它回答不了的三类问题吗？
第四问：你能说出一个门类的成果为什么容易被高估吗？
第五问：你能说明技术材料的“没拍到”“没截到”“没查到”分别意味着什么吗？
第六问：你能说清某个门类的时间尺度，以及它因此适合支撑什么类型的判断吗？
六个问题都能回答，说明本模块的目标基本达成。如果有答不上来的，请回到相应小节重读，不要急于进入下一模块。
长按识别下面的二维码可加入星球
里面已有万余篇资料可供下载
续费五折优惠
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：丁爸 情报分析师的工具箱 丁爸 丁爸《情报分析师培训课程（三）情报学科与全源分析（3）》
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论