仅仅是恶意软件数量增加并不意味着攻击就会变得容易。事实上，有潜在破坏性或者威胁生命安全的网络攻击应该是很难实现的。为什么呢？敏感的系统一般都有内置的冗余和安全系统，这意味着一名攻击者可能攻击的目标不能关闭一个系统，因为仅仅是迫使控制系统关闭（比如一个电厂）都会激活备份，而操作人员也会开始寻找系统故障。要作为有效的武器，恶意软件需要影响一个活动的程序，而不是使其戛然而止。如果恶意软件想在一段时间内保持活跃，那么它还必须一直隐藏起来。这比按下虚拟的停止键可难多了。
以2010年破坏伊朗核程序的蠕虫病毒（又称超级工厂病毒）为例，它没有直接关闭纳坦兹核设施的离心机，而是巧妙地控制着整个系统。蠕虫病毒悄悄地渗透到工厂的网络中，之后跳进了控制系统，截断并记录传感器输入的检测值，然后向合乎现有规定的控制代码发送预先准备的假输入信号，这是研究该蠕虫病毒的研究人员说的。病毒的目的并不只是戏弄控制室里的操作员，还要绕过数字安全和监控系统，以便秘密地操纵实际过程。
编写和部署蠕虫病毒，需要对它将要攻破的系统有极为精细的情报，其他的网络武器也面临同样的问题。是的，“聚合”、标准化和控制系统不完善的防护都可能增加这类攻击的风险，但同样是由于这个动向，对那些人们梦寐以求的系统的保护也会稳步升级，为老旧系统编写特别程序也会变得更加复杂，而不是更简单。
第二部分：
“网络武器能间接造成大规模损害”
不太可能。蠕虫病毒事件爆发后，《纽约时报》报道这种新武器最引人注目的方面就是它产生的“间接损害”。恶意程序“溅到了全世界数以千计的电脑上，它的一部分影响也作用于这些系统上，而不仅是它的主要目标——伊朗设备”，《纽约时报》这样写道。这样的描述使人不禁认为计算机病毒和高度传染的生物病毒一样，一旦从实验室中释放出来就会对抗所有易受攻击的系统，而不止是原定目标。
但是这种比喻是有巨大缺陷的。伴随着网络武器杀伤潜力的增长，它造成跨系统的巨大损害的可能性会减小。蠕虫病毒确实感染了超过10万台电脑，主要是在伊朗、印尼和印度，也有一些欧美电脑受到影响。但这个病毒经过特别设计，不会对这些机器产生实际损害，而只会影响伊朗纳坦兹的离心机。蠕虫病毒实施是把对原定目标的侵染最大化。安全软件公司赛门铁克（Symantec）分析了蠕虫病毒的代码后写道：由于最终的目标没有联网，“渗透那套系统所需的所有功能都直接内置在超级工厂病毒内部”。所以是的，超级工厂病毒“溅”得比较远，但它只在预定的目标上造成特定损害。
简单的说，间接感染并不一定造成间接损害。一个复杂的恶意软件可能严重损害许多系统，对于目标系统软件会造成特别的损害，除了原定目标，可能对其他系统无害。尤其是在网络武器变得越来越复杂的背景下，说它们会造成损害是站不住脚的。它们就好像是那种只会让一个家庭生病的感冒病毒。
“在网络空间，攻击支配防御”
又错了。信息时代具有“攻击主导属性”，阿尔奎拉和龙菲尔德在他们1996年出版的那本《网络战降临（The Advent of Netwar）》中是这么说的。这种观点在美国国防系统内就像病毒一样在传播。2011年五角大楼一份关于网络空间的报告强调“目前在网络战争中攻击享有的优势”。情报界在去年提交给众议院的年度威胁报告中也强调了这一点，说攻击手段（即发现和利用弱点）演变的速度远远超过联邦政府和行业调整防御措施的速度。结论看起来很明显：网络攻击方相对于网络防御方具有优势，“以后5年终这一趋势可能还会恶化。”