发现系统漏洞的奖励

2021年，发现一个叫大卫·舒默的系统德国程序员在curl项目里翻代码时，发现了一个缓冲区溢出漏洞。漏洞励他没多想，发现提交了修复补丁。系统几周后，漏洞励他收到一笔转账——来自curl作者丹尼尔·斯滕伯格的发现个人账户，金额不大，系统折合人民币不到两千块。漏洞励舒默后来在博客里写：“这钱不够买台新显示器，发现但比公司年终奖让我开心。系统”

这就是漏洞励漏洞奖励的原始形态。没有平台，发现没有排行榜，系统没有CVE编号带来的漏洞励简历镀金。纯粹是“我看到了，我修了，有人觉得这事值得说声谢谢”。

现在的漏洞赏金早就不是这个玩法了。HackerOne上排名靠前的白帽子，年收入能到五十万美元以上。谷歌的Android安全奖励计划，最高单笔给过二十万。苹果2023年把最高赏金提到两百万美元，专门针对那些不需要用户交互就能远程攻破iPhone的零点击漏洞。数字听着刺激，但真正拿到顶格奖励的人，全球一只手数得过来。

大多数人赚到的是“中间层”。一个中危的跨站脚本漏洞，在HackerOne上均价大概五百到一千美元。听起来还行？算算时间成本。你要读目标公司的源代码或做黑盒测试，要写清楚复现步骤，要等厂商确认，要等修复，要等奖金发放。从发现到到账，三个月算快的。折合下来时薪可能不如送外卖。

但漏洞奖励的真正价值从来不在于钱本身。我认识一个在杭州做渗透测试的小伙，2022年在一个国产办公软件里挖到一个任意文件读取漏洞。厂商给了八千块，但他把漏洞报告整理成技术文章发在安全社区，两周内收到三家公司的面试邀请。其中一家开出的年薪比他当时工资翻了一倍多。那八千块是零头，真正的奖励是“这个人能发现别人发现不了的东西”这个信号。

企业这边算的是另一笔账。微软每年给外部研究者的赏金支出大概在千万美元级别。看起来很贵？一次勒索软件攻击导致的业务中断，平均损失是四百四十万美元——这还是IBM几年前的数据。花几百万让全球最聪明的一批人帮你找漏洞，比养一个内部安全团队便宜多了，而且覆盖范围更广。内部团队再强，也就几十上百人。赏金计划面向的是全世界。

问题也出在这。赏金计划多了，质量就参差不齐。有些厂商把赏金当公关工具，漏洞收了一堆，修得慢吞吞，奖金还压价。研究者不傻，被坑一次就在圈子里传开了。有个做IoT安全的朋友，连续给某智能家居品牌报了三个高危漏洞，第一个给了五百，第二个拖了半年说“内部评估中”，第三个直接回邮件说“该漏洞不在奖励范围内”。他后来把漏洞详情发在推特上，厂商第二天就联系他谈“合作”。他回了一句：“晚了。”

漏洞奖励这件事，说到底是一种信任交换。研究者相信厂商会认真对待漏洞，厂商相信研究者不会拿漏洞去黑市卖。黑市上，一个Android零点击漏洞能卖到两三百万美元，是官方赏金的好几倍。选择提交给厂商的人，要么是道德感撑着，要么是算过账——官方渠道能积累声誉，声誉能换长期饭票。黑市交易是一锤子买卖，还可能惹上法律麻烦。

所以你看那些顶级白帽子，很多都开了自己的安全公司，或者成了厂商的安全顾问。漏洞奖励是他们入行的敲门砖，不是终点。真正持久的奖励，是你在安全社区里那个ID背后的信用记录。这东西，比单笔赏金值钱得多。

舒默那不到两千块的转账，他到现在还留着截图。他说那不是钱，是“有人认可你做了正确的事”。这话听着矫情，但在漏洞挖掘这个圈子里，认可本身就是硬通货。