漏洞工资，漏洞工资这词儿是漏洞工资我自己编的，但事情是漏洞工资真的。上个月，漏洞工资我朋友老周在杭州一家做跨境电商的漏洞工资中厂当安全工程师，年薪四十万，漏洞工资活儿却闲得让人发慌。漏洞工资他每天的漏洞工资工作就是打开公司那个漏洞扫描平台，看看有没有新报警，漏洞工资然后……没了。漏洞工资一年下来，漏洞工资真正需要他动手修的漏洞工资漏洞，两只手数得过来。漏洞工资

不是漏洞工资他技术不行，恰恰相反，漏洞工资他技术太好了。公司那套系统是五年前外包做的，代码烂得像一锅粥，但正因为烂，反而“稳定”——没人敢动，动一处崩三处。老周提过几次重构方案，预算报告写了八十页，最后被CTO一句“能跑就行”打回。他跟我说：“我拿这份工资，不是来解决问题的，是来证明问题不存在的。”这话听着像玩笑，细想却冷得慌。

后来我留意了一圈，发现这种“漏洞工资”在不少行业都存在。我一个在银行做风控的同学，年薪六十万，每天的工作就是盯着监控大屏，但真正的黑客攻击一年碰不上几次。他大部分时间在写周报，把“无异常”三个字扩写成三千字。还有做内容审核的，工资不低，但真正需要他们判断的敏感内容，早被AI过滤干净了，他们存在的意义，就是万一AI错了，能有人背锅。

这种工资结构，本质上是为“可能性”付费，而不是为“实际产出”付费。公司养着这些人，就像家里备着灭火器——平时没人觉得它有用，但真起火的时候，没它不行。问题在于，灭火器不会抱怨自己没用，人会。老周最近在偷偷刷面试题，他说不是想跳槽，就是想看看自己那身本事，是不是已经锈成了摆设。

但换个角度想，这种“漏洞工资”其实暴露了一个更大的行业病：太多公司把安全、合规、风控当成成本，而不是投资。他们愿意花大钱请人“看门”，却不愿意花小钱把门修好。老周跟我说过一句话，我记到现在：“如果哪天我失业了，不是因为我没能力，是因为公司终于想通了，与其花四十万请我证明系统没事，不如花四百万把系统重写一遍。”

他这话有点自嘲，但真不是没道理。漏洞工资这东西，表面看是个人拿钱不干活的美差，实际上是个双输的局。公司花了钱没买到安全感，员工花了时间没攒下成就感。等哪天真出了大事，那些拿漏洞工资的人，反而成了第一个被追责的——毕竟，你拿了钱，就得证明自己值这个价，哪怕你根本没机会证明。

老周最后跟我说，他其实挺羡慕那些在创业公司天天加班到秃头的同事，至少人家每行代码都算数。我问他那你怎么不早走？他沉默了一会儿，说：“怕走了之后，下一个接我这岗位的人，连漏洞在哪都找不到。”这话让我愣了半天——原来有些工资，真的是靠“漏洞”撑着的，而有些漏洞，恰恰是那些拿工资的人，自己给自己挖的坑。