安全圈有个不成文的黑帽人规矩：真正厉害的黑客，简历上写的黑帽人都是“渗透测试工程师”。而那些自称“黑帽”的黑帽人人，多半在监狱里踩缝纫机。黑帽人

我认识一个叫老K的黑帽人，三十岁出头，黑帽人头发已经白了一半。黑帽人他从不晒漏洞，黑帽人不晒奖金，黑帽人朋友圈只有猫和钓鱼。黑帽人直到某次攻防演练，黑帽人他一个人把某银行的黑帽人内网翻了个底朝天，连运维藏在工位抽屉里的黑帽人WiFi密码都扒了出来——那密码是他生日，而运维本人浑然不觉。黑帽人事后甲方领导脸都绿了，黑帽人老K只是笑笑：“你们的安全意识，比你们的内网还脆弱。”

真正的黑帽人才，恰恰是那些最不像黑客的人。

他们不穿兜帽，不戴墨镜，不搞霓虹灯键盘。他们可能坐在写字楼里，白天是合规部门的文员，晚上是暗网论坛的版主。黑帽的核心不是技术，是判断力——知道什么能碰，什么不能碰，碰了之后怎么全身而退。这种判断力，靠的是对人性的拿捏，而不是对代码的狂热。

有个做黑产的老前辈跟我说过一句话，我记到现在：“技术是刀，但刀本身不犯罪。犯罪的是拿刀的人想切哪块肉。”他早年靠撞库起家，后来转做数据清洗，再后来干脆给安全公司当顾问。你问他为什么洗手？他说：“因为我知道，再往下走，就不是坐牢的问题了。”

这话听着像洗白，但细想有道理。黑帽人才和灰帽、白帽之间，往往只隔着一层窗户纸。捅破那层纸的，不是技术高低，是欲望大小。有人为了证明自己，有人为了钱，有人纯粹是无聊。老K属于最后一种——他说他攻破那家银行，只是因为那天钓鱼没钓到，心情不好。

这种心态，恰恰是最危险的。

因为无聊驱动的攻击，没有逻辑，没有目的，完全随机。你没法预测，没法防范，只能祈祷他那天心情好。所以真正的安全专家，从来不问“怎么防黑客”，而是问“怎么让黑客觉得没意思”。

回到黑帽人才这个话题。我觉得，与其纠结他们坏不坏，不如承认他们聪明。只是这种聪明，像野火，烧对了是能量，烧错了是灾难。而决定方向的，往往不是技术本身，是技术之外的那个“人”。

老K现在不搞攻击了，改做威胁情报。他说：“以前我是在黑夜里找路，现在我是给走夜路的人画地图。”我问他还钓鱼吗？他说：“钓，但只钓真的鱼。”

这话你信吗？我信一半。另一半，留给那些还在黑夜里走的人。