2015年秋天，漏洞Facebook给一个巴西程序员发了笔奖金——两万五千美元。奖励计划这人没干什么惊天动地的漏洞事，只是奖励计划在Facebook的登录页面里翻出一个漏洞：攻击者能通过修改某个参数，绕过双重验证直接登录他人账户。漏洞他把步骤写成报告提交上去，奖励计划两周后钱就到账了。漏洞这种事在今天的奖励计划互联网公司里已经稀松平常，但放在二十年前，漏洞发现漏洞的奖励计划人可能面临的是律师函，甚至刑事指控。漏洞

漏洞奖励计划（Bug Bounty Program）的奖励计划逻辑其实很简单：与其等着黑客偷偷利用漏洞，不如明码标价，漏洞让发现漏洞的奖励计划人主动交出来。这个思路最早可以追溯到1995年，漏洞网景公司推出过一个叫“Bug Bounty”的项目，奖励发现浏览器安全问题的人现金和T恤。但真正让这套机制流行起来的，是2000年代中后期的一批互联网公司。Google在2010年正式启动了自己的漏洞奖励计划，最初最高奖金只有3133.7美元——这个数字是“eleet”的谐音，工程师式的幽默。到了2023年，Google单笔最高奖金已经涨到超过十万美金。

数字变化的背后是一整套生态的成熟。现在全球有几十个漏洞奖励平台，HackerOne、Bugcrowd、Synack这些名字在安全圈里几乎人尽皆知。HackerOne自己披露过一组数据：平台注册的白帽黑客超过一百万，累计发放奖金超过两亿美元。听起来很多，但平均下来每笔奖金其实并不高——大量漏洞的奖励在几百到几千美元之间。真正能拿到高额奖金的，往往是那些影响范围大、利用难度高的漏洞，比如远程代码执行、身份验证绕过这类。

我认识一个在杭州做渗透测试的工程师，他白天给甲方做安全评估，晚上偶尔上HackerOne接活。他跟我说过一个细节：很多公司的漏洞奖励计划表面上开放，实际上有大量“不在范围内”的条款。比如某个社交平台明确写着“不接收需要物理接触设备的漏洞报告”，这等于把一大类问题排除在外。还有些公司会以“已知问题”为由拒绝支付奖金，但又不公开这些已知问题是什么。这种信息不对称让不少白帽黑客感到沮丧。

更麻烦的是法律边界。2020年，一个安全研究员因为测试了某家航空公司的网站漏洞，被对方报警，FBI上门没收了他的设备。虽然最后没有起诉，但这事在圈子里传开后，很多人开始犹豫：我到底是在做安全研究，还是在犯罪？漏洞奖励计划本质上是一份合同，但这份合同往往写得模糊不清。公司说“欢迎测试”，但测试到什么程度算越界，没人说得清。

从公司角度看，漏洞奖励计划也不是万能药。它更像是一个补充机制，而不是替代品。内部安全团队仍然需要做代码审计、渗透测试、威胁建模这些基础工作。漏洞奖励计划能覆盖的是那些“漏网之鱼”——外部研究者用不同视角发现的边角问题。微软曾经统计过，他们通过漏洞奖励计划发现的漏洞中，有相当一部分是内部测试很难触达的场景，比如特定地区的老旧浏览器版本、非主流的第三方插件组合。

奖金金额的设定也有讲究。太低没人认真找，太高又可能吸引大量低质量报告，把安全团队淹没在噪音里。苹果公司2016年推出漏洞奖励计划时，最高奖金二十万美元，但只针对少数受邀研究者开放。直到2019年才向公众开放，最高奖金涨到一百万美元——前提是能找到无需用户交互的零点击内核漏洞。这种定价策略明显在筛选：我们要的是最顶级的那批人。

国内的情况稍微不同。腾讯的TSRC、阿里的ASRC、百度的BSRC起步都挺早，但早期更多是“应急响应”性质，奖金偏低，流程也不够透明。最近几年有所改善，字节跳动、美团这些公司也开始认真做漏洞奖励。不过整体上，国内白帽黑客更倾向于把漏洞提交给国外平台，原因很实际：奖金更高，流程更规范，法律风险更小。

漏洞奖励计划走到今天，已经不只是“给钱换漏洞”这么简单。它变成了一种信号：这家公司愿不愿意和外部研究者对话，能不能承认自己的系统不完美。一个连漏洞奖励计划都没有的互联网公司，在今天这个环境下，很难让人相信它真的在乎安全。