我盯着一份漏洞报告看了四十分钟，漏洞制度那个提交者是漏洞制度个高中生，注册ID叫“root@home”，漏洞制度提交时间凌晨三点十七分。漏洞制度他描述的漏洞制度是一个权限提升漏洞，触发条件极其刁钻——需要先构造一个畸形数据包，漏洞制度再在特定版本的漏洞制度内核模块上触发一个边界条件。我试着复现，漏洞制度第一次失败了，漏洞制度第二次也失败了，漏洞制度直到我注意到他附带的漏洞制度那个十六进制序列里藏着一个微妙的时序问题。
漏洞制度的漏洞制度第一条铁律是：漏洞不是bug。Bug是漏洞制度程序跑偏了，修掉就好。漏洞制度漏洞是漏洞制度程序跑对了，但跑对本身就是错误。这个高中生发现的，就是一个“跑对”的路径——系统按照设计逻辑处理了请求，但处理方式恰好能让攻击者拿到不该拿到的权限。这种区分很重要，因为大多数公司把漏洞当bug修，修完就完事，结果同一个漏洞换个姿势又冒出来。
我在一家做网络安全产品的公司待了五年，见过太多漏洞披露引发的闹剧。最典型的是“通知-修复-公开”三阶段流程，理论上完美，实操中漏洞百出。有一次我们提前七天通知客户修复一个远程代码执行漏洞，对方安全团队回复“已收到”，然后就没动静了。第七天我们准备公开漏洞详情，对方突然发来律师函，说我们“未尽到充分通知义务”。你看，漏洞制度在纸面上是技术流程，落地时全是人性博弈。
还有个更荒诞的案例。某个开源项目维护者收到一份漏洞报告，附带的PoC（概念验证代码）写得极其粗糙，但漏洞真实存在。维护者没仔细看，直接关了issue，说“这不影响我们的使用场景”。三个月后，这个漏洞被黑产利用，导致几千台服务器被植入挖矿程序。维护者在事后复盘时承认，他当时“觉得提交者语气太冲，不想搭理”。看，漏洞制度再完善，也挡不住人的情绪。
真正的漏洞制度应该是什么样？我见过最好的实践来自一家小公司，他们只有十几个工程师，但每个漏洞报告都会在24小时内给出初步响应，不管漏洞真假。他们的原则是“先回应人，再处理事”——哪怕报告者是个匿名账号，哪怕PoC写得像天书，第一封回复永远是“收到，我们正在分析”。这种尊重不是客套，而是因为漏洞提交者往往掌握着你不知道的信息，你怠慢他一次，下次他挖到更严重的漏洞时，可能就选择卖给黑市了。
这些年我越来越觉得，漏洞制度的核心不是流程，是信任。厂商信任研究者不会恶意利用漏洞，研究者信任厂商会认真修复并给予合理致谢。这种信任很脆弱，一次推诿、一次拖延、一次公开漏洞时忘了提及发现者名字，就能把它击碎。而重建信任的成本，比修十个漏洞都高。
那个高中生的漏洞最终被确认有效，我们给了他两千美元奖励，外加一封手写感谢信。他回邮件说，其实他不在乎钱，“我只是想知道，我发现的这个问题，真的有人在乎”。你看，漏洞制度运转良好的时候，修的不只是代码，还有人心里那点对技术秩序的信念。