2017年5月12日，漏洞带一个叫WannaCry的漏洞带勒索病毒在几个小时之内瘫痪了全球超过20万台电脑。英国国家医疗服务体系被迫取消手术，漏洞带雷诺汽车的漏洞带生产线停了，连西班牙电信的漏洞带员工都只能盯着屏幕上那个红色弹窗发呆。事后调查发现，漏洞带漏洞来自美国国家安全局自己开发的漏洞带一个黑客工具——"永恒之蓝"。NSA把它做出来，漏洞带本来是漏洞带用来攻击别人的，结果自己没捂住，漏洞带泄露了。漏洞带一个超级大国的漏洞带网络武器库漏了个口子，全世界跟着遭殃。漏洞带

这事儿细想起来挺荒诞的漏洞带。制造漏洞的漏洞带人，最后被漏洞反噬。但更荒诞的是，这种逻辑在生活里到处都是。

我认识一个做电商的朋友，前几年靠刷单把店铺数据做得很好看。平台算法确实吃这套，流量哗哗地来。他跟我喝酒的时候说，这叫什么？这叫"钻系统的空子"。后来平台改了规则，不仅刷单权重清零，还倒扣了他三个月的搜索排名。他那个店到现在都没缓过来。你说平台有漏洞吗？有。但他钻进去之后，那个洞就变成了他自己的坑。

漏洞这东西，本质上是系统里的一个"没想到"。写代码的人没想到有人会这样输入，定规则的人没想到有人会那样绕。它天然带着一种诱惑——别人都老老实实走正门，你发现侧门没锁，那种快感是很具体的。但问题在于，侧门没锁这件事，系统迟早会知道。修门的人来了，第一个被堵在里面的就是你。

更麻烦的是，有些漏洞你钻进去的时候觉得自己在占便宜，其实是在帮系统做测试。你每利用一次，就相当于给系统提供了一份免费的漏洞报告。平台的风控模型为什么越来越准？因为早期那些刷单的人把各种路径都跑了一遍，平台拿着这些数据把模型训练出来了。你以为你在薅羊毛，其实你在当教材。

当然，也不是所有漏洞都这么"用完即焚"。有些漏洞会长期存在，因为修补它的成本太高，或者修补它的人根本不知道它存在。比如某些行业里的"潜规则"，大家都知道某个环节可以操作，但没人捅破。这种漏洞就成了地下秩序的一部分。你钻进去，能活；但你也永远活在"哪天被清算"的阴影里。那种日子，说实话，不好过。

我观察到一个现象：真正厉害的人，发现漏洞之后往往不是第一时间去利用，而是先判断这个漏洞的性质。是技术性的，还是结构性的？是暂时的，还是长期的？利用它的收益，和暴露它的风险，哪个更大？这些问题想清楚了，再决定动不动手。这不是道德高尚，这是算账算得明白。因为漏洞带来的收益，往往是一次性的；但漏洞带来的风险，是持续性的。

WannaCry那个病毒，最后被一个22岁的英国小伙子无意中摁住了。他注册了一个域名，意外触发了病毒的自毁开关。一个漏洞被另一个漏洞给堵上了。这事儿挺讽刺的，也挺真实。系统从来不是靠完美运行的，是靠一个又一个补丁勉强维持的。你钻的那个洞，迟早会变成别人手里的补丁。而你，就是那个被补掉的部分。

所以每次我看到有人兴冲冲地说"我发现了一个漏洞"的时候，我都想问一句：你确定你是发现者，不是测试用例？