2023年秋天，漏洞出售一个叫"零日"的漏洞出售 Telegram 频道里，有人挂出了一条 iOS 零点击漏洞链，漏洞出售标价 250 万美元。漏洞出售不到 48 小时，漏洞出售帖子被删除，漏洞出售交易状态改成"已售出"。漏洞出售买家是漏洞出售谁，没人知道。漏洞出售这不是漏洞出售电影情节，是漏洞出售漏洞交易市场的日常。

漏洞本身不稀奇。漏洞出售任何软件都有 bug，漏洞出售区别在于有些 bug 能让人远程控制你的漏洞出售手机、窃取加密资产、漏洞出售甚至打开麦克风。这种 bug 叫"零日"——因为厂商还不知道，防御方有零天时间准备。发现它的人面临一个选择：报告给苹果换奖金，还是卖给出价更高的人。

苹果的漏洞赏金最高给到 200 万美元，听起来不少。但同一漏洞在灰色市场上的报价通常是这个数字的 2 到 5 倍。以色列的 NSO Group、意大利的 Hacking Team、还有一堆叫不上名字的中间商，常年在这个市场扫货。他们的客户包括政府机构、情报部门，偶尔也有私人侦探所。2021 年飞马项目曝光时，人们发现 NSO 的客户遍布 50 多个国家，监听对象从记者到异见人士都有。

我认识一个做安全研究的人，网名叫"灰帽"。他 2019 年发现了一个 Chrome 沙箱逃逸漏洞，谷歌给 3 万美元。同一周，一个中间商通过加密邮件联系他，开价 15 万，要求独家且不公开。他没卖。"不是道德问题，是怕被溯源。"他说，"你收了钱，对方迟早会知道你是谁。然后你就有把柄在别人手里了。"

但很多人会卖。漏洞交易的核心矛盾在于：发现漏洞的人往往不是能修复它的人。一个东欧的独立研究者，月收入可能不到 1000 美元，面对 50 万美元的报价，拒绝的代价太大。中间商很清楚这一点，报价精准卡在"让人无法拒绝"的区间。

更麻烦的是"漏洞经纪"这个角色。他们不直接使用漏洞，只做撮合。买家付钱，他们抽成 20% 到 30%。交易用加密货币结算，合同用智能合约锁定，交付方式通常是加密压缩包加一次性密码。整个链条里，没人知道最终用户是谁。2022 年有个案例，一个漏洞被卖了三次——先卖给 A 国，再转手给 B 国的承包商，最后出现在 C 国某监狱的监控系统里。原始发现者根本不知道自己的代码去了哪里。

厂商这边也不是完全被动。微软、谷歌、苹果都有漏洞奖励计划，而且近几年在提高奖金。但他们的逻辑是"竞价"，不是"根治"。只要灰色市场价格更高，就永远有人选择沉默。更讽刺的是，有些厂商自己也在买漏洞——通过第三方公司，匿名收购，用来测试自家产品。这等于变相承认了市场的合理性。

法律层面几乎是一片模糊。美国《计算机欺诈与滥用法》管的是"未经授权访问"，但漏洞交易本身不违法。出口管制条例能管一部分，比如把漏洞卖给受制裁国家，但执行难度极大。2021 年，美国商务部试图把"入侵软件"纳入出口管制，结果遭到安全研究界强烈反对，最后不了了之。

我自己的判断是：漏洞出售不会消失，只会变得更隐蔽。零日市场正在从公开论坛转向私密群组，从美元转向门罗币，从个人交易转向"漏洞即服务"的订阅模式。你不需要买断一个漏洞，可以按月租用。这对买家更灵活，对卖家更安全，对防御方更绝望。

灰帽后来转行了，去做区块链安全审计。他说了一句话我记到现在："漏洞不是被发现的，是被制造的。只要有人写代码，就有人写漏洞。区别只在于，你站在哪一边收钱。"