合肥的合肥漏洞评估市场，这两年肉眼可见地热闹起来。漏洞2023年冬天我跟一个做等保测评的评估朋友吃饭，他说光高新区那边新注册的合肥安全公司就有十几家，不少都在打“漏洞评估”这张牌。漏洞但真正能把这个活干明白的评估，掰着指头数得过来。合肥

漏洞评估和渗透测试经常被人混为一谈。漏洞前者更像体检，评估拿扫描器把资产过一遍，合肥找出已知的漏洞毛病，出一份报告；后者是评估模拟真实攻击，看能不能打进去。合肥合肥不少企业拿着扫描报告当渗透测试交差，漏洞甲方也分不清，评估反正有个章就行。这种糊弄事的做法，在政务云和金融行业尤其危险。

去年滨湖新区一家城商行做内部审计，发现核心系统里跑着一个2019年就没打过补丁的Struts2组件。扫描器三年前就报过这个漏洞，但运维觉得“内网没人能碰到”一直没管。结果那次审计直接定性为重大风险，科技部负责人被约谈。这事在合肥金融圈传了一阵，后来好几家银行开始重新梳理自己的漏洞管理流程。

合肥的产业结构决定了它的漏洞评估需求有鲜明特点。科大讯飞、华米这些企业扎堆，智能语音和可穿戴设备的固件安全测试需求大。但很多本地安全团队擅长的是Web层面，一碰到嵌入式系统就露怯。有个做智能家居的创业公司找我聊过，他们找了三家合肥本地的安全服务商，没一家能看懂Zigbee协议栈的漏洞报告，最后只能从深圳请人。

政务系统是另一块硬骨头。合肥“城市大脑”接了几十个委办局的数据，漏洞评估得在业务低峰期做，窗口期就凌晨那两三个小时。有次某区政务平台做评估，扫描器把一台老旧打印机扫宕机了，连带影响了大厅的叫号系统。第二天老百姓排长队，投诉电话打爆了。这事说明漏洞评估不只是技术活，还得懂业务连续性，知道哪些资产碰不得、怎么碰。

价格战也在把水搅浑。高新区有公司报价五千块做一次全网漏扫，报告模板化，高危中危低危一列，修复建议全是“请及时更新补丁”。这种报告拿去交等保，评审专家一眼就能看出来是敷衍。真正有价值的评估得结合资产重要性、业务暴露面、现有防护措施来定风险等级。一个内网测试环境的SQL注入和一个对外门户的SQL注入，风险能一样吗？

人才缺口是根本问题。合肥高校不少，中科大、合工大每年输出大量计算机毕业生，但愿意做安全服务的少。渗透测试岗应届生月薪开到一万二，还是招不满。很多人干两年就跳去甲方或者转开发了。留下的要么是真热爱，要么是没得选。这种流动性导致很多安全公司不敢接太复杂的评估项目，怕人手不够砸招牌。

我自己的判断是，合肥的漏洞评估市场正在经历一轮洗牌。靠低价和模板报告混日子的公司会越来越难，甲方被坑几次之后也会学聪明。真正能活下来的，要么在某个垂直行业扎得够深，比如专做汽车电子或医疗信息系统的漏洞评估；要么能把评估和后续的修复加固打通，形成闭环。光靠一台扫描器打天下的时代，在合肥已经过去了。