凌晨三点，漏洞翻译我盯着屏幕上那行报错代码，漏洞翻译突然意识到自己一直在做翻译工作——把机器的漏洞翻译语言翻译成人话。

漏洞报告里写着“use-after-free”，漏洞翻译直译是漏洞翻译“释放后使用”。这词儿太学术了，漏洞翻译甲方看了只会皱眉。漏洞翻译实际上它描述的漏洞翻译场景很荒诞：程序把一块内存还给了系统，却还攥着它的漏洞翻译地址不放，像分手后还留着前任钥匙，漏洞翻译某天深夜突然开门进去——里面住着的漏洞翻译已经是别人了。数据错乱、漏洞翻译权限提升，漏洞翻译全因这把过期的漏洞翻译钥匙。

我见过最生动的漏洞翻译翻译来自一个老运维。他把“race condition”叫“抢椅子”。多个线程同时去改同一个变量，谁先谁后全看运气，最后坐下的那个赢了，但椅子可能已经散架。他这么一说，新来的实习生立刻懂了为什么有时候bug复现不了——不是它不存在，是你没赶上那场抢椅子游戏。

翻译漏洞不只是技术活，还得懂人性。有些漏洞描述写“attacker can cause a denial of service”，直译就是“攻击者能导致拒绝服务”。但真正该翻译给老板听的是：“你的网站会被打瘫，客户点不开页面，客服电话被打爆，公关要写道歉声明。”技术词汇是冰山水面，业务影响才是沉在水下的那部分。

有一次我处理一个SQL注入漏洞，报告里全是十六进制编码和堆栈调用，像天书。我花了三小时逆向分析，最后发现源头是登录框没过滤特殊字符。翻译给开发听：“有人在你登录框里输入了' OR 1=1 --，数据库就以为不用密码了。”开发愣了两秒，说：“就这？”他改了三行代码，漏洞消失。翻译的价值在于把复杂的攻击链压缩成一句能让人立刻行动的话。

但翻译也有翻车的时候。有次我把“buffer overflow”翻译成“缓冲区溢出”，客户点点头，说懂了。第二天他问我：“那是不是多存点东西就不会溢出了？”我这才明白，他以为这是容量问题，加个硬盘就能解决。实际上那是程序边界没守好，数据冲进了别人的地盘。我重新翻译：“就像往杯子里倒水，水满出来流到桌上，把旁边的文件泡了。”他这才露出恍然大悟的表情。

漏洞翻译最难的是转换视角。安全研究员写报告时盯着技术细节，开发人员关心代码改动量，老板只想知道会不会被罚款。同一个漏洞，三种完全不同的语言。我见过最极端的例子——一个CSRF漏洞，研究员写了五千字，开发回复“已修复”，老板问“这影响我们上市吗？”

说到底，漏洞翻译是座桥，桥这头是二进制世界的逻辑，桥那头是现实世界的损失与风险。桥建得不好，技术人觉得报告没营养，业务人觉得报告看不懂。桥建得好，一个“heap overflow”能变成“黑客能在你服务器里种后门，随时偷走用户密码”。

现在我养成了习惯，每收到一份漏洞报告，先问自己三个问题：它怎么发生的？能造成什么实际伤害？修起来要多久？把答案想明白，翻译自然就通了。至于那些实在翻译不了的——比如“undefined behavior”，我就直说：“这程序的行为根本没定义，就像你问一个醉汉下一步要干嘛，他自己都不知道。”

对方笑了，但记住了。那就够了。

(责任编辑：焦点)