360安全漏洞平台上线那年，安全我正好在做一个政府网站的漏洞安全加固。甲方技术负责人甩过来一个链接，平台说“以后有漏洞先往这儿报”。安全点开一看，漏洞页面简陋得像个个人博客，平台但后台已经躺着几十条待审核的安全漏洞详情。那是漏洞2013年，国内还没几家像样的平台漏洞收集渠道，白帽子们要么在论坛里发帖，安全要么直接把漏洞卖给黑产。漏洞360这个平台算是平台踩在了节点上。

它的安全核心逻辑其实不复杂——给漏洞一个“合法出口”。以前你发现某电商网站能越权查看订单，漏洞发在乌云上可能被厂商公关删帖，平台发在贴吧里又没人理。360漏洞平台的做法是：你提交，我验证，我通知厂商，厂商修不修、什么时候修，平台会公开时间线。这套机制让漏洞披露从“地下交易”变成了“半公开流程”。我印象很深的是2015年某运营商的一份内部文件泄露，就是从漏洞平台流出来的截图，上面标着“高危，已确认，等待修复”。

但问题也出在这儿。平台本身不是执法机构，它对厂商的约束力全靠“公开”二字。厂商要是脸皮厚，拖着不修，平台除了挂个“未修复”标签，也没别的招。2017年有个教育类App的SQL注入漏洞，白帽子提交后等了三个月，厂商没动静。平台按规则公开了细节，结果第二天厂商发律师函，说平台“泄露商业机密”。这事在圈子里吵了一阵，最后不了了之。你看，漏洞披露的边界从来不是技术问题，是法律和人情。

我后来跟几个常驻平台的白帽子聊过。他们最烦的不是厂商不修，而是“重复提交”。同一个漏洞，你报了，我也报了，平台只认第一个。有人为了抢首发，漏洞还没验证清楚就急着提交，结果被平台打回来，反而耽误了修复。有个叫“黑桃”的白帽子告诉我，他曾经为了一个某银行网银的逻辑漏洞，连续蹲了三个通宵，就为了赶在别人前面把复现步骤写完整。“跟打游戏抢首杀一样，累，但上瘾。”

平台的数据倒是挺有意思。翻翻历年报告，2016年到2019年，高危漏洞占比从12%涨到27%，说明什么？不是漏洞变多了，是白帽子们开始认真挖了。以前大家爱报XSS这种“刷分神器”，后来平台调整了评分权重，一个命令执行漏洞顶十个反射型XSS。规则一变，提交质量立马不一样。这跟游戏排位赛一个道理——奖励机制决定玩家行为。

不过360漏洞平台也有尴尬的时候。2020年某次大型攻防演练，平台突然涌进来几百条“漏洞”，后来发现是红队为了刷排名批量提交的。平台连夜改了规则，加了“人工复核”环节。你看，任何开放平台都逃不过“道高一尺魔高一丈”的循环。白帽子、厂商、平台，三方博弈，没有一劳永逸的解法。

现在这个平台还在跑，但声量不如从前了。乌云关了，补天起来了，各家厂商也自建了SRC。360漏洞平台更像一个“老牌交易所”——流量没那么大，但规矩还在，历史数据还在。偶尔有新人问我“现在往哪儿报漏洞”，我会说：先看厂商有没有SRC，没有的话，360平台还是能兜底的。至少它不会把你的漏洞卖给黑产，这点底线，在圈子里已经算难得了。