我是漏洞英语在一次渗透测试报告里第一次撞见这个词的——"漏洞英语"。

客户是漏洞英语个中型电商平台，安全团队把SQL注入漏洞的漏洞英语修复建议写得滴水不漏，英文术语用得比中文还多。漏洞英语但真正让我愣住的漏洞英语不是技术本身，而是漏洞英语他们给漏洞定级时写的那句："This vulnerability may cause data leakage which is very bad for our business." 语法没错，意思也对，漏洞英语可那股子生硬劲儿，漏洞英语像极了用谷歌翻译把中文逐字翻过去的漏洞英语。

后来接触多了才发现，漏洞英语这压根不是漏洞英语个例。国内很多安全报告、漏洞英语漏洞描述、漏洞英语甚至开源项目的漏洞英语issue里，都飘着这种"漏洞英语"——技术细节精准，漏洞英语但表达方式总差那么一口气。你去看那些知名CVE漏洞库，英文描述往往简洁到残忍："Heap buffer overflow in V8 in Google Chrome prior to 114.0.5735.90 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page." 一个被动语态，一个"potentially"，就把影响范围、攻击路径、触发条件全交代清楚了。

可到了国内某些报告里，同样一个堆溢出，能被写成"The program has a memory problem that may cause the system to crash or allow hackers to do bad things." 词汇量没问题，但那种精确的"漏洞语感"没了。这就像你让一个外国人用中文描述宫保鸡丁，他能说清楚鸡肉、花生米和辣椒，但绝对说不出"糊辣荔枝口"这种行话。

我有个朋友在知名外企做安全研究员，他吐槽过一件事。他们团队收到过国内白帽子提交的漏洞，技术含量极高，零日级别的利用链。但英文描述写得像散文，开头先来一段环境介绍，中间夹杂着"I think""maybe"这种不确定词汇，最后结论还带个感叹号。老外工程师看得一头雾水，愣是把紧急漏洞当普通bug处理了，拖了两周才修复。那两周里，这个漏洞已经被黑产扫了不知道多少遍。

这不是语言能力问题，是思维习惯问题。中文写漏洞报告，习惯性地把"背景-过程-结论"铺陈开，像讲故事。但英文漏洞文化讲究的是"结论先行"，第一句话就得把最要命的点砸出来，然后才是证据链。你去看微软、谷歌的安全公告，永远是开头一句"An attacker who successfully exploited this vulnerability could..."，后面全是技术参数。

我甚至见过更极端的例子。有个安全团队的leader，英文水平其实很好，雅思7.5分那种。但他写的漏洞描述里，总爱用"very dangerous""extremely serious"这种情绪化副词。后来我问他为什么，他说是怕对方不重视。可实际上，在漏洞圈子里，形容词越少，可信度越高。你写"CVSS 9.8，远程代码执行，无需认证"，比写"这是一个极其严重的漏洞，攻击者可以完全控制服务器"有力一百倍。

说到底，"漏洞英语"的本质不是翻译，是换个脑子思考。你得学会把中文里那种"委婉铺垫"和"整体感知"扔掉，直接进入"动词开头、名词精准、被动语态兜底"的英文技术表达模式。就像写代码一样，每个词都得有明确的功能性，不能有装饰性的废话。

现在每次看到国内安全报告里那些"中式漏洞英语"，我都想递过去一本《CVE写作风格指南》。可惜没人写这书。也许哪天我该自己动手写一本，书名就叫《漏洞英语》，副标题是：如何让你的漏洞描述，像漏洞本身一样精准致命。

(责任编辑：热点)