中国漏洞平台SRC：白帽子的中国江湖与生意

凌晨两点，某SRC平台弹出一条新漏洞提交。漏洞提交者ID叫“安全小将”，平台附了详细的中国利用链和演示视频。漏洞是漏洞某大厂旗下App的越权访问，影响范围覆盖数百万用户。平台三小时后，中国厂商安全团队确认漏洞有效，漏洞评级“高危”，平台赏金两万。中国这是漏洞中国漏洞平台SRC最普通的日常。

SRC全称Security Response Center，平台安全响应中心。中国国内叫得上名号的漏洞互联网公司基本都有自己的SRC——阿里、腾讯、平台字节、美团、百度，甚至一些银行和券商也悄悄建了。它们本质上是厂商花钱买漏洞，白帽子提交漏洞换赏金。这个模式从美国兴起，在中国被玩出了更浓的江湖气。

我认识一个全职挖洞的哥们，去年靠SRC赏金在二线城市付了首付。他每天干的事就是盯各大厂商的新业务线，哪里有新功能上线，哪里大概率有洞。他说这行跟炒股差不多，得研究厂商的“基本面”——哪家安全投入大但开发流程混乱，哪家最近在疯狂招人做新项目，都是机会。他特别不爱碰某家老牌电商，因为测试环境封得死，提交个低危漏洞还得写一堆报告，性价比太低。

厂商这边，SRC不只是花钱买平安。腾讯的TSRC（腾讯安全应急响应中心）运营了十几年，积累的白帽子社群本身就是安全圈的人才池。很多厂商会从活跃白帽子里直接挖人入职，这比猎头推荐靠谱得多——毕竟漏洞水平摆在那，做不了假。而像字节的漏洞平台，早期为了追赶对手，赏金给得格外大方，单个严重漏洞能到六位数，直接刺激了一波白帽子从其他平台“转会”过来。

但这事没那么光鲜。漏洞平台的灰色地带一直存在——有人拿着漏洞去黑市比价，哪边给得多就交哪边；也有厂商收到漏洞后故意拖评级，把“严重”降成“中危”，省下一大笔赏金。白帽子圈子里管这叫“压价”，碰上这种事只能自认倒霉，或者去第三方漏洞平台曝光，但通常没下文。

最近两年，SRC的玩法又变了。随着监管趋严，很多厂商开始把漏洞平台当成合规工具——不是为了真修洞，而是为了“有响应流程”。这类平台的漏洞处理速度慢得惊人，提交后三个月没动静是常事。白帽子们私下吐槽：“有些平台存在的意义就是让老板在安全汇报时有个PPT可讲。”

不过真正的技术流玩家不在乎这些。他们更关注新赛道——车联网、大模型、智能硬件，这些领域的SRC刚起步，规则不完善，意味着机会多。一个朋友去年在某新能源车厂的SRC提交了个远程控制漏洞，直接拿到顶格赏金，还上了他们的致谢榜。他说那个漏洞其实不复杂，就是车载系统升级包没做签名校验，但厂商之前根本没想过会有白帽子来测他们的车。

中国漏洞平台SRC发展到现在，早就不只是“提交-打钱”的简单交易。它成了安全圈的人才筛选器、技术风向标，也是厂商安全能力的照妖镜——舍得花钱的不一定安全做得好，但连SRC都懒得运营的公司，大概率连基本的安全意识都没有。白帽子们在这个生态里讨生活，有人靠它财务自由，有人被它伤透心，但没人真正离开。毕竟，能合法地攻击大厂系统还拿钱，这诱惑谁也挡不住。