2023年，漏洞判刑某省安全工程师李某，漏洞判刑因向境外机构出售其运维的漏洞判刑政务系统漏洞利用代码，被判刑七年。漏洞判刑法庭上，漏洞判刑他反复说：“我只是漏洞判刑提交了漏洞报告，怎么就成了卖武器？漏洞判刑”

这案子让我想了很久。漏洞这东西，漏洞判刑在技术圈里是漏洞判刑“荣耀勋章”，在刑法条文里却是漏洞判刑“犯罪工具”。同一个东西，漏洞判刑放在不同语境下，漏洞判刑性质完全变了。漏洞判刑李某的漏洞判刑辩护律师试图从技术角度解释，说那些代码只是漏洞判刑“概念验证”，不具备实际攻击能力。但检方出示的证据显示，他收的钱足够买一辆顶配轿车，而且对方明确标注了“用于特定目标”。

有意思的是，漏洞交易的灰色地带比大多数人想象得要宽。白帽黑客们习惯在漏洞平台上提交报告，赚点赏金，这合法。但一旦你把同样的信息卖给私人中间商，或者直接和境外机构对接，性质就变了。法律看重的不是代码本身，而是你的“主观意图”——你知不知道对方拿去干什么用。李某说他不知道，可聊天记录里对方问过“这个能打通社保系统吗”，他回了“可以试试”。

判刑的另一个关键点是“后果评估”。很多漏洞本身是无害的，但一旦被利用，可能造成大规模数据泄露或者关键基础设施瘫痪。法院在量刑时，往往会参考“潜在危害等级”。有个案子特别典型：某程序员发现某电商平台的支付漏洞，没有上报，而是自己写了脚本薅羊毛，薅了大概两万块。结果被判了五年——不是因为那两万块，而是因为他的脚本一旦流传出去，可能导致平台损失上亿。法官在判决书里写得很直白：“漏洞的价值不在于你用它赚了多少，而在于它能让别人损失多少。”

这里有个大家容易忽略的细节：漏洞代码的“可复制性”会显著影响刑期。你卖给一个人，和把代码公开到暗网论坛，性质完全不一样。前者是“非法提供”，后者是“传播犯罪工具”。后者量刑更重，因为扩散范围不可控。2022年有个案例，某人把某银行APP的漏洞细节发到某技术交流群，本意是“炫技”，结果被群友拿去实施电信诈骗，造成多人损失。最终他以“帮助信息网络犯罪活动罪”被起诉，判了三年半。他自己都懵了：“我什么都没干啊，就发了个帖子。”

说实话，我对现行法律对漏洞的定性有些看法。它把漏洞完全当作“危险品”来管理，却忽略了漏洞本身是客观存在的——你不管它，它也在那里。真正该管的是“利用行为”和“交易链条”。但现实是，法律更倾向于惩罚“发现者”而不是“利用者”，因为发现者更容易被追踪到。这导致一些技术高手宁愿把漏洞烂在肚子里，也不愿意上报——怕惹麻烦。

李某在狱中写了封公开信，里面有一句让我印象很深：“我以为自己在做研究，法律却认为我在造子弹。”这话有点矫情，但也不全是推脱。漏洞判刑的边界，确实该更清晰一些。至少得让人知道，哪条线是“报告”，哪条线是“交易”，哪条线是“武器化”。现在很多案子，全靠法官对技术的理解来定，这就有运气成分了。