凌晨两点，漏洞招聘某安全公司HR的漏洞招聘邮箱里躺着一封标题为"我可以黑进你们官网"的邮件。发件人附上了后台截图，漏洞招聘顺手把漏洞细节写成了幽默的漏洞招聘rap歌词。三天后，漏洞招聘这位自称"只想找点乐子"的漏洞招聘19岁少年，拿到了年薪四十万的漏洞招聘offer。
这事搁五年前根本不可能。漏洞招聘那时候招安全工程师，漏洞招聘简历上没个CVE编号、漏洞招聘没在知名大会讲过议题，漏洞招聘HR连看都不看。漏洞招聘现在倒好，漏洞招聘漏洞本身成了简历。漏洞招聘有个朋友在甲方做安全负责人，漏洞招聘去年招人时收到个GitHub链接，里面全是他们公司系统的漏洞报告——写得比内部文档还详细。他当场拍板："这人不用面试了，直接发offer。"
为什么变了？因为漏洞的价值被重新定义了。以前企业觉得漏洞是丑闻，藏着掖着怕曝光。现在呢？漏洞是攻防演练的弹药，是合规审查的通行证，甚至能换算成保险定价的系数。我认识个搞渗透测试的哥们，去年靠给一家银行找漏洞，赚的奖金抵得上三年工资。
但讽刺的是，真正厉害的漏洞挖掘者，往往不是科班出身。他们可能是玩CTF的大学生，是逛黑客论坛的爱好者，甚至是修电脑时顺手发现路由器后门的网吧老板。有个案例特别典型：某大厂悬赏十万找漏洞，最后被一个初中生用家里旧手机找到了——那孩子只是好奇"为什么这个App能读取我的通话记录"。
招聘方也学精了。他们不再死磕学历和证书，转而搞"漏洞赏金计划"当筛子。你提交的漏洞质量、报告写法、响应速度，全在后台默默打分。表现好的直接发offer，比传统笔试靠谱得多。有个HR跟我说过句大实话："笔试能测出你会不会写代码，但测不出你面对真实系统时那种刨根问底的疯劲。"
不过这条路也不好走。漏洞挖掘是个体力活，得跟操作系统底层较劲，跟加密算法死磕，有时候为了一个边界条件要熬几个通宵。我见过太多人一开始兴致勃勃，后来被复杂的业务逻辑劝退。能坚持下来的，要么是真热爱，要么是把它当成了闯关游戏——每提交一个有效漏洞，就像游戏里解锁了新成就。
现在有些公司甚至把漏洞报告当作品集看。你在漏洞平台上的活跃度、漏洞类型分布、复现步骤的清晰度，比任何简历都更有说服力。有个猎头跟我说，她筛选候选人时先看对方提交过哪些高危漏洞，再看对方在技术社区的回答质量——"学历？那是最后才看的。"
说到底，漏洞招聘的本质，是把"发现问题"的能力置于"解决问题"之前。这世界从来不缺会写代码的人，缺的是能看见代码背后裂缝的人。而那些裂缝，恰恰是系统最真实的样子。