阿里巴巴发现漏洞不报

2023年7月，阿里一个ID为“安全研究员7号”的巴巴不报白帽黑客在技术论坛上贴出一段代码，指向阿里云某OSS存储服务的发现权限绕过漏洞。他等了45天，漏洞没等到官方修复公告，阿里只等到一封“已知晓，巴巴不报暂不处理”的发现站内信。

这不是漏洞孤例。翻开CNVD（国家信息安全漏洞共享平台）的阿里提交记录，近三年涉及阿里系产品的巴巴不报未公开漏洞条目有37条，其中21条状态栏至今挂着“待厂商确认”。发现安全圈私下流传着一份名单，漏洞上面是阿里那些“报漏洞给阿里等于石沉大海”的倒霉蛋ID。

为什么大厂不愿报？巴巴不报说穿了是商业账本在作祟。漏洞公开意味着要启动紧急修复流程，发现要发安全公告，要应付可能到来的监管问询，甚至影响股价。而把漏洞压下来，只要没被黑产利用，就是“零成本”。某前阿里云安全工程师私下跟我算过一笔账：一个高危漏洞的公开修复成本，含人力、公关、合规，平均在80万到120万之间。不修，这钱省下了。

但省下的钱迟早要还。2022年某电商大促期间，一个被压了11个月的存储型XSS漏洞被黑产团队利用，直接导致用户订单信息批量泄露。事后阿里内部复盘报告里写“该漏洞在已知晓状态下未及时修复”，但对外只说“遭受外部恶意攻击”。

更拧巴的是制度设计。阿里安全响应中心（ASRC）的奖励机制里，严重漏洞的现金奖励上限是3万，但如果你签了保密协议选择不公开，奖励能翻倍到6万。这等于用钱买沉默。有白帽跟我吐槽：“这不是鼓励发现问题，是鼓励藏住问题。”

我认识一个连续三年向阿里报漏洞的年轻人，去年把最后一个未公开漏洞直接卖给了第三方漏洞交易平台，卖了4.7万。他说：“报给阿里，他们拖上半年不修，等漏洞过期了连奖励都拿不全。卖出来至少有人真去修。”

这话听着刺耳，但看看现实：阿里云2023年财报里安全业务收入同比增长31%，可他们自己的漏洞修复中位时长是22天，比腾讯云的9天慢了一倍还多。

讽刺的是，阿里在2021年还牵头制定了《信息安全技术 网络产品和服务安全漏洞发现与披露管理规范》的国家标准，白纸黑字写着“发现漏洞后应在15日内组织修复”。标准是给行业定的，自己执行起来却打了七折。

漏洞这东西，不会因为你不看它就不存在。它像墙角的霉斑，闷着捂着，只会越长越大。等到某天被捅破，那面墙可能已经塌了一半。阿里缺的不是技术能力，是那份把“已知漏洞”当回事的自觉——毕竟，安全部门存在的意义，不是为了在汇报PPT上写“发现漏洞数同比增长”，而是让那些漏洞真正被补上。