凌晨三点，某互联网公司安全响应中心的值班工程师收到一条告警：某业务系统出现异常登录行为。他打开SRC平台，提交了一条漏洞报告，附带完整的复现步骤和流量截图。二十分钟后，厂商确认漏洞，修复上线，他拿到了一笔四位数的奖金。这就是SRC平台最典型的日常。

SRC，Security Response Center，安全应急响应中心。说白了就是厂商自己搭的一个“收漏洞”的窗口。白帽子发现漏洞，提交到平台，厂商确认后给奖励。听起来简单，但真正跑起来，里面的门道不少。

国内最早一批SRC大概是2013年前后出现的。腾讯、阿里、百度几乎同时开始做这件事。当时的背景很直接——地下黑产已经在用漏洞赚钱了，厂商与其被动挨打，不如主动花钱买平安。这个逻辑放到今天依然成立。一个高危漏洞在黑市上可能卖到几万甚至几十万，但厂商给白帽子的奖金通常只有几千块。差价巨大，可白帽子愿意走正规渠道，原因也简单：安全、合法、还能攒声望值。

我接触过几个常年在SRC平台上提交漏洞的白帽子。他们的工作状态跟外人想象的不太一样。不是每天对着屏幕疯狂扫站，更多时候是在研究某个厂商新上线的功能模块。有个白帽子跟我说，他花了整整两周时间只盯着一家电商平台的优惠券逻辑，最后发现了一个可以无限领券的越权漏洞。提交后厂商给了八千块，他觉得值，因为“这个洞要是被黑产用了，一晚上能薅走几百万”。

SRC平台的核心其实不是技术，是信任机制。白帽子担心厂商不认账，厂商担心白帽子狮子大开口或者转头就把漏洞卖了。平台在中间做担保，制定规则，仲裁争议。这套机制跑通了，生态才能转起来。现在国内比较活跃的SRC有几十家，覆盖了互联网、金融、车企甚至一些传统行业。漏洞等级从严重到低危，奖金从几百到几万不等。有些厂商还会给积分，积分能换礼品或者面试直通卡。

但问题也不是没有。我见过不少白帽子吐槽厂商“压等级”——明明是个高危，非说中危，奖金直接砍半。也有厂商觉得白帽子提交的漏洞“不算漏洞”，比如一些业务逻辑上的小瑕疵，双方扯皮好几天。这种事多了，白帽子就换一家平台玩。SRC之间其实也在抢人，谁家给钱痛快、确认快、不墨迹，谁就能吸引到更优质的白帽子。这行口碑传得特别快。

另一个变化是，SRC平台上的漏洞质量在下降。早期随便挖挖就能出高危，现在新业务上线前基本都过了一遍安全测试，剩下的都是硬骨头。有个白帽子跟我说，他去年提交了四十多个漏洞，只有两个是高危，其他都是中低危，加起来拿到的钱还不够交房租。这也是为什么很多老白帽子开始转向做安全培训或者去甲方上班，纯靠挖洞吃饭越来越难。

不过SRC平台的价值不能只用奖金衡量。对厂商来说，它是一个持续运转的外部安全测试团队，成本比养一个专职安全团队低得多。对白帽子来说，它是一个练手和积累履历的地方。很多安全工程师的简历上都会写“曾在某SRC平台提交过XX个高危漏洞”，这比任何证书都管用。

凌晨三点那个值班工程师后来跟我说，他那天晚上其实还提交了另外两个漏洞，一个被拒了，一个还在审核。他说这话的时候语气很平淡，就像在说今天中午吃了什么。这行就是这样，漏洞天天有，平台天天转，没什么大惊小怪的。