乌云漏洞报告平台死了。漏洞不是报告慢慢衰落，是平台突然关停，像被人拔了电源。漏洞2016年7月，报告那个页面就那样挂着，平台访问不了，漏洞连个告别公告都没有。报告但在我硬盘里，平台还存着它最后几个月的漏洞漏洞报告截图——那些白帽子们熬夜挖出来的SQL注入、命令执行、报告越权漏洞，平台每一行代码背后都是漏洞真金白银的漏洞奖金和提心吊胆的测试过程。

这个平台最狠的报告地方在于它的“中立”。厂商想删帖？平台没门。乌云有一套自己的审核机制，白帽子提交漏洞后，平台会联系厂商确认，但确认完照样公开。这跟现在很多SRC（安全响应中心）不一样——那些平台漏洞提交后，厂商自己决定公开不公开，结果就是大部分漏洞永远躺在后台数据库里吃灰。乌云当年逼着厂商在“公开漏洞”和“修复漏洞”之间做选择，这一招让很多公司的安全负责人半夜爬起来打电话催开发改代码。

我认识一个老白帽子，他现在已经不挖洞了，转行做安全咨询。他跟我说过一句话：“乌云时期挖洞是为了证明自己牛，现在挖洞是为了换积分换礼品——连个漏洞详情都藏着掖着，生怕别人学了去。”这话挺扎心，但确实是现状。乌云时代，一个高危漏洞出来，全行业的技术人员都能看到技术细节，攻击手法、修复方案，全都摊在阳光下。那时候的网络安全圈子，像是一个开放的技术课堂，虽然有些厂商觉得丢脸，但整体上促进了安全水平的提升。

乌云的盈利模式其实一直没跑通。漏洞众测抽成？厂商入驻收费？都没做成规模。它本质上是个理想主义产品——靠一群对网络安全有执念的人撑着，服务器费用靠创始人自己垫，运营成本靠社区捐赠。这种模式在2010年左右还能撑得住，但到了2015年，资本开始涌入网络安全领域，合规需求暴涨，厂商更愿意花钱买“不出事”，而不是花钱“公开出事”。乌云的存在，反而成了某些上市公司的定时炸弹——一个漏洞报告挂在那，投资人看到了，股价就得抖三抖。

关停的直接导火索是2016年的一个事件，具体细节我不方便展开，但圈内人都知道，那件事之后，乌云再也没能恢复运营。有人说它是被“招安”了，有人说它是被“处理”了，但我觉得，更准确的说法是——它触碰了太多既得利益，而自己又不够强大到能保护那些提交漏洞的白帽子。

现在回看乌云，它像是一个早产儿。它的理念——安全漏洞应该公开透明——放在今天依然不过时，但当时的土壤撑不起这种理念。如今很多漏洞平台还在运行，但它们的报告质量、公开程度、社区氛围，跟乌云完全不是一个量级。偶尔我会打开那些旧的漏洞报告页面截图，看那些技术细节写得清清楚楚的漏洞条目，心里总有点不是滋味。乌云没了，但那些漏洞还在，只是没人再愿意把它们晾在太阳底下了。