网络产品安全漏洞奖励机制

2021年，网络某安全研究员在推特上发了一条消息，产品说自己发现了某国产路由器固件的安全远程命令执行漏洞。三天后，漏洞厂商客服私信他：“删帖，奖励机制否则法务部见。网络”又过了两周，产品该漏洞在野被利用，安全攻击者批量劫持了五万台设备。漏洞厂商这才回头找他，奖励机制问能不能“帮忙看看”。网络他回了两个字：“晚了。产品”

这事听着离谱，安全但在漏洞挖掘圈子里不算新鲜。漏洞很多厂商对漏洞的奖励机制态度是：你不说，我不认；你说了，我告你。安全研究员夹在中间，要么闭嘴，要么冒着法律风险公开。奖励机制本来是打破这个僵局的工具，可执行起来常常走样。

一个设计得好的漏洞奖励计划，第一件事是把“合法”写清楚。比如某头部云厂商的SRC页面，开头就列明：只要不碰用户数据、不破坏业务、不公开细节，测试行为不追究法律责任。这比什么“欢迎提交漏洞”的空话管用得多。研究员不是怕挖洞，是怕挖完洞自己进去。

第二件事是定价。漏洞值多少钱，不能只靠厂商拍脑袋。某电商平台早年给一个支付逻辑漏洞开价五百块，研究员直接把漏洞卖给了黑产，据说赚了六位数。后来这家平台改了规则：按CVSS评分分级，高危起步价一万，上不封顶。那年他们收到的有效漏洞数量翻了四倍。钱给到位，人才会把好东西留给你。

但光给钱也不够。有个独立研究员跟我聊过，他给某IoT厂商报了固件签名绕过漏洞，厂商确认了，也给了奖金，然后半年没发补丁。他问进度，对方说“在排期”。他问能不能先发个公告提醒用户，对方说“没必要”。结果漏洞细节在圈内传开，被脚本小子做成了利用工具。厂商回头怪他“泄露信息”。这事说明什么？奖励机制不能只管收漏洞，不管修漏洞。收而不修，等于把研究员当免费情报员，把用户当小白鼠。

我观察到一个现象：国内真正把漏洞奖励做起来的，往往是那些吃过亏的公司。某短视频平台2020年被曝出一系列越权漏洞，股价跌了一波，之后他们建了专门的应急响应团队，奖励预算不设上限，还给高危漏洞发现者发“年度致谢”。这不是良心发现，是算明白了账——一个漏洞被黑产利用的公关成本和业务损失，远高于奖金支出。

反过来，那些抠抠搜搜的厂商，往往也是安全事件的重灾区。某智能门锁品牌，连续三年被白帽子曝出蓝牙开锁漏洞，每次都是“已修复”，每次都被绕过。后来有人扒出他们的漏洞奖励计划：最高奖金两千，还要求签保密协议，禁止在任何场合提及漏洞。这种计划不如不搞，搞了反而让研究员觉得被羞辱。

说到底，漏洞奖励机制不是做慈善，也不是公关秀。它是一份契约：你出钱，我出技术；你修漏洞，我守规矩。契约要成立，得有三样东西——法律免责的明确边界、与风险匹配的奖金、以及修复漏洞的诚意。缺一样，这机制就转不动。

我见过最实在的一条规则，来自某安全厂商的SRC公告：“我们不问你怎么发现的，只问漏洞是不是真的。真的，给钱；假的，拉黑。别废话。”这话糙，但比那些写满三页纸的官腔管用。安全圈的人不傻，谁真心做事，谁在糊弄，一个漏洞提交周期就能试出来。