走進任何一家店的後場，角落都有一台跑了好幾年的機器。
沒人會去想它。它還能動。
很長一段時間，這就是不去碰它的理由。
我不太確定現在還是不是。

那批把自己煮熟的冷藏櫃

十月，有人進到數百家歐洲超市的冷藏控制器，叫冷藏櫃除霜。
溫度一路往上。肉品和冷凍食品整批報廢。
法國最慘，約 350 家門市；比利時、西班牙、葡萄牙、波蘭、德國也中。
控制器是 Danfoss 做的。幾款中招的機種是 EOL——還在店裡跑，但原廠早就不再給安全更新。
沒有勒索，沒有人出來認。手法官方還沒證實。
（研究人員早就點名過，有數千台這種管理面板裸露在公網上。）

「還能動」和「還安全」是兩件事

冷藏櫃這件事改變了我一個想法。
我們決定一台設備要不要換，只問一句：它還能做它的工作嗎？
這句話已經不夠了。
一台設備可以運作得好好的，同時是別人進到你營運裡最省力的那道門。
AI 時代，「它守得住嗎」變成設備還值不值得留下的條件之一。不是加分項，是條件。

把一切集中起來，也把風險集中了

同一個月，另一種事件打到 Ahold Delhaize。
一個資安問題，整個集團把系統關掉——Albert Heijn、Etos、Gall & Gall、比利時 Delhaize，還有美國的連鎖。
網站和線上到貨停擺。空貨架。目前估損約一千萬歐元。
（公司稱是 IT 事件、查無資料外洩；荷蘭當局說和冷藏案無關。）
把東西全部收到一個地方，很有效率。
一個節點被攻破，就是一個系統的威脅。
裸露的端點是一種脆弱，過度集中是另一種。

攻擊變便宜，防守變貴

AI 壓低了攻擊的成本。
找出裸露的設備、猜出弱密碼、寫出驅動控制器的那段腳本，都比一年前更快更便宜。
防守往反方向走。更多端點、更多整合、更多要打的補丁、更多要盯著的人。
而最弱的一環很少是機房。
是 POS、kiosk、看板播放器、監視器、店內 Wi-Fi——那些沒人被交代要顧的東西。
這些末端端點，值得我們平常只留給伺服器的那種重視。

CRA 很煩，但它可能是對的

這就講到這個行業每個人都愛抱怨的那條法規。
歐盟的 Cyber Resilience Act 很煩。更多文書、更多義務、更多你還沒想換就被迫退役的設備。
但看它實際要求什麼：出廠不得帶已知漏洞、不准用猜得到的預設密碼、要給好幾年的安全更新、整台設備的生命週期要有人負責——而且不只製造商，零售商和進口商都要。
這張清單，正好是對冷藏櫃那件事的回答。
被迫換代是成本，也是一筆把安全做進去的投資。
這是整條鏈第一次被逼著刻意去做這件事。
雖然還是很繁瑣，但我開始理解他的目標。

那台跑了十年的機器還能動。但是在接下來的幾年，你放心依賴他嗎？