360安全卫士的忽略弹窗又跳出来了，提示我“发现高危漏洞”，漏洞里建议立即修复。忽略我点开详情，漏洞里看到的忽略是一个CVE编号，微软两年前就发过补丁。漏洞里我的忽略系统早就更新过了，但360还是漏洞里日复一日地弹同样的窗。这事让我开始琢磨：360到底在修什么漏洞？忽略或者说，它故意不修什么？漏洞里

先说一个我亲身遇到的情况。去年帮朋友处理一台老电脑，忽略Win7系统，漏洞里装的忽略是360安全卫士。系统卡得不行，漏洞里我查了一下启动项，忽略发现360自己塞了四五个后台进程，还有个“360安全防护中心”常驻内存，占着将近200MB。朋友说他就用电脑看看网页、聊聊微信。我问他为什么不卸载360，他说不敢——之前卸过一次，结果桌面图标全乱了，浏览器主页也被改了，最后又装回来了。这个细节很关键：360把自己做成了系统的一部分，卸载它会出问题，这个问题本身就是它制造的。

再说漏洞。360的漏洞修复模块有个特点：它优先推荐自家产品来“补漏”。比如检测到某个系统组件版本旧了，它不会直接调用微软的更新，而是推一个360自己的“盾甲”或者“加固”模块。这些模块确实能挡住某些攻击，但它们也接管了系统原本的更新通道。时间一长，用户以为漏洞修好了，实际上系统底层该打的补丁没打，只是被360的壳子盖住了。壳子本身有没有漏洞？没人知道，因为360从不公开这些模块的源码，也不参加微软的MAPP漏洞共享计划。

更微妙的是漏洞的“定义权”。360说某个漏洞高危，用户就信。但有些漏洞它从来不提。比如它自己的安全浏览器，长期存在一个隐私问题：即使开了无痕模式，某些扩展仍然能读取浏览记录。这个漏洞在安全社区被讨论过，但360的漏洞扫描从来不报自家产品的问题。你装360，它扫遍全盘，唯独跳过自己的安装目录。这不是技术做不到，是策略上不做。

还有一个案例。某次我抓包分析360的更新请求，发现它向服务器上传的“漏洞信息”里，包含了我电脑上安装的所有软件列表、版本号、甚至部分注册表键值。这些数据用来干什么？官方说是“精准修复”。但精准修复需要上传我的Office序列号吗？需要知道我装了哪款小众的密码管理工具吗？这些信息一旦泄露，攻击者根本不需要找系统漏洞，直接针对我用的软件版本发起定向攻击就行了。360修了一个洞，却在我墙上开了扇窗。

那360忽略的漏洞到底在哪里？不在CVE数据库里，不在微软的补丁列表里。它在360自己的商业模式里。它的盈利靠的是导航站流量、游戏分发、广告弹窗。这些业务要求它必须深度驻留用户系统，必须掌握用户行为数据，必须让用户离不开它。任何会削弱这种控制力的漏洞，它都选择看不见。比如它自己的进程提权漏洞，比如它上传数据的加密缺陷，比如它卸载程序时的强制挽留逻辑。这些漏洞对用户是风险，对360是护城河。

所以每次看到360弹窗说“修复漏洞”，我都想笑。它像个保安，天天检查你家门窗，却把自己配的钥匙藏在地毯下面。你问他钥匙安全吗，他说“别管这个，先交物业费”。