凌晨两点，公开漏洞安全研究员张明在GitHub上翻到一个仓库，公开漏洞顺手点了Star。公开漏洞第二天早上，公开漏洞他发现自己负责的公开漏洞电商系统被拖库了——攻击者利用的，正是公开漏洞那个仓库里三天前公开的漏洞PoC。

这不是公开漏洞电影情节。2023年，公开漏洞全球披露的公开漏洞漏洞数量突破2.8万个，平均每天76个。公开漏洞但真正让我后背发凉的公开漏洞，不是公开漏洞数字本身，而是公开漏洞漏洞公开到被利用的时间差。以前这个窗口期以月计算，公开漏洞现在以小时计算。公开漏洞有个词叫“零日漏洞”，指厂商还没打补丁就被曝光的漏洞。现在更流行的是“零点击漏洞”——你什么都不用点，手机放在桌上，对方就能通过蓝牙或Wi-Fi通道进来。苹果公司去年修复的AirDrop漏洞就是典型，攻击者只需靠近你，就能读取通讯录。

公开漏洞的渠道也在变味。安全圈的老规矩是“负责任披露”：先通知厂商，给90天修复期，再公开细节。但现在，越来越多的黑客组织直接在网上拍卖漏洞，价高者得。去年有家叫“漏洞市场”的暗网站点，一个针对安卓系统的提权漏洞标价250万美元。这比很多初创公司的估值还高。

我认识一个白帽黑客，叫老周，专门挖路由器漏洞。他说现在最头疼的不是技术难度，而是厂商态度。他曾经发现某知名品牌路由器的后门，提交给厂商后，对方回复“不影响主流用户使用”，然后就没有然后了。老周一气之下把漏洞细节发到技术论坛，结果那个型号的路由器在二手市场暴跌——因为所有人都知道，这个路由器可以被远程控制，变成僵尸网络的一部分。

这种案例多了，就形成了一种恶性循环。厂商怕漏洞公开影响股价，选择隐瞒；黑客发现隐瞒比修复更有利可图，就变本加厉。真正倒霉的是普通用户——他们不知道自己的摄像头、智能门锁、甚至电动汽车都可能在公开漏洞的数据库里被标注为“易受攻击”。

有个细节让我印象很深：国家信息安全漏洞库的网站，每天访问量最大的时段是凌晨2点到4点。为什么？因为那个时间，攻击者最活跃，他们盯着新公开的漏洞，像股市里的高频交易员一样，抢在别人前面扫描目标。而防守方呢？大多数企业安全团队早上9点才上班。

公开漏洞本身没有错，它是安全行业的基石——没有公开，就没有共同防御。问题在于，我们整个系统还停留在“先发现、再修复、后公开”的线性思维里，而攻击者早已进化到“边公开、边利用、边扩散”的网状模式。这种时间差和认知差，才是真正致命的漏洞。