暗网论坛上，漏洞售卖一个ID叫“灰鼠”的漏洞售卖用户挂出了一条帖子：“某开源防火墙RCE漏洞，影响版本2.4.3至2.6.1，漏洞售卖已写EXP，漏洞售卖起拍价12个比特币。漏洞售卖”帖子下面附了一段十几秒的漏洞售卖演示视频——一个终端窗口，光标闪烁，漏洞售卖输入一行命令，漏洞售卖屏幕弹出目标服务器的漏洞售卖root权限提示符。整个过程不到三秒。漏洞售卖

这不是漏洞售卖什么新鲜事。漏洞售卖早已是漏洞售卖一条成熟产业链，从“零日”到“半日”，漏洞售卖从政府级武器到灰产工具，漏洞售卖明码标价，漏洞售卖童叟无欺。有人统计过，一个能远程执行代码的浏览器漏洞，在黑市上的价格能顶得上一辆保时捷911。但真正让我后背发凉的，不是这些数字，而是买家的构成。

去年我参与过一个企业内部安全审计，客户是一家做智能门锁的创业公司。他们的产品用了某厂商的物联网芯片，芯片里跑着一个精简版Linux系统。审计过程中，我们在一家不起眼的国外论坛上，发现有人正在出售该芯片的调试接口漏洞——价格不高，折合人民币大概两千块。卖家的帖子写得随随便便，连个像样的截图都没配，但底下已经有七八个跟帖在问“能不能批量供货”。

两千块是什么概念？一顿稍微像样的商务宴请。而这个漏洞能让一个门外汉远程打开任何一把使用该芯片的智能门锁，包括那些安装在民宿、办公室和出租屋里的。我打电话给那家创业公司的CTO，他说他们早就知道有这个洞，但芯片厂商的修复周期是六个月，他们等不起，只能先发补丁包，覆盖不了所有存量设备。我问他，你们打算怎么办？他沉默了一会儿，说：“我们正在开发新一代产品，老产品……只能祈祷了。”

祈祷这个词从一个工程师嘴里说出来，听着特别刺耳。

漏洞售卖的本质，是把数字世界的信任拆成零件来卖。你花两千块买到的不是一段代码，而是某个陌生人深夜独居时的安全感，某个小公司攒了半年的用户数据，或者某条生产线突然停摆时车间主任额头上的冷汗。卖家不关心这些，他们只关心买家付款是否及时，交易是否匿名。

更讽刺的是，很多漏洞的源头并非什么高深技术。我认识一个搞漏洞挖掘的朋友，他常年蹲在各种开源项目的更新日志里，专门盯着那些“修复了某个安全问题”的条目，然后逆向推算出之前的漏洞长什么样。他管这叫“捡漏”，一个月能捡到两三个，每个卖个万把块，够他交房租和猫粮钱。他说，厂商的修复公告就是他的商品目录，越是大厂越容易漏出信息，因为代码量大，总有照顾不到的地方。

这行当里最贵的不是技术，是信息差。你知道某个软件有个洞，而厂商还不知道，或者知道了但没修，那你就握着主动权。买家买的是时间差，卖家卖的是沉默权。双方都心知肚明，这个洞一旦公开，价值就归零。

我有时候想，那些花大价钱买漏洞的人，买到的到底是什么？一个后门，一份权限，还是一种能暂时凌驾于规则之上的幻觉？

我不知道。我只知道，每一次漏洞交易完成，数字世界里就多了一扇没人知道的门。而那扇门后面，可能是你家的摄像头，可能是医院的病历库，也可能是电网的调度系统。卖家不会告诉你门后面有什么，买家也未必想知道。

他们只关心价格。