绿盟的漏洞办公室里挂着这样一句话：“漏洞扫描不是一门生意，而是扫描一面照妖镜。”这话有点绝对，厂商但确实点破了行业的漏洞本质。你花钱买扫描器，扫描买的厂商不是软件，是漏洞那双能看见暗处裂缝的眼睛。
去年某银行做渗透测试，扫描花了几十万请三家厂商轮番上阵。厂商结果挺讽刺——第一轮扫描，漏洞A厂商报出37个高危漏洞，扫描B厂商只找到12个，厂商C厂商直接说系统“基本安全”。漏洞等三方报告摊在桌上，扫描甲方技术总监脸都绿了：三家用的厂商扫描规则库，重合率不到四成。同一套系统，有的说千疮百孔，有的说固若金汤。
这行当的水深，就深在“漏洞”二字本身是流动的。今天刚爆出的Log4j2漏洞，第二天扫描器厂商就得连夜更新规则库。但规则库更新快慢，直接暴露厂商的底牌——有些厂商的规则库是人工维护，遇到新漏洞反应得像树懒；有的则用机器学习自动抓取威胁情报，半小时就能出检测插件。差距就这么拉开的。
更微妙的是商业策略。某头部厂商销售私下跟我说，他们的扫描器对自家防火墙产品的漏洞“检测灵敏度”会调低一档。这话真假难辨，但圈内人都懂：扫描器是入口，卖安全设备才是利润大头。你要是真把客户系统里的所有漏洞都揪出来，人家防火墙还卖给谁？
也有厂商走另一条路。知道创宇的扫描器有个功能叫“暗链检测”，专门抓网页里被植入的赌博广告链接。这功能单卖不赚钱，但政府网站和高校特别吃这一套。他们靠这个攒口碑，再推渗透测试服务，反而活得滋润。这年头，肯做“笨功能”的厂商不多了。
最要命的是误报率。某云厂商客户曾吐槽：扫描器报了个“Redis未授权访问”高危漏洞，运维团队连夜整改，结果发现那是个测试环境的假Redis，压根没对外网开放。一来一回浪费两个通宵，从此该客户对扫描报告的第一反应是“先人工复核再说”。
所以你看，漏洞扫描厂商表面卖的是技术，实际拼的是三样东西：规则库更新速度、误报率控制水平、还有敢不敢对客户说“你这系统没救了”的诚实。前两样靠投入，最后一样靠胆量。可惜市场里敢说真话的厂商，往往不是报价最高的那个。
话说回来，这行业也有个好处——永远饿不死。只要还有人写代码，就有人留漏洞；只要有人留漏洞，扫描器就得跟着升级。但谁能在下一次0day爆发时第一个拿出检测规则，谁就能在下一轮招标里多拿几个百分点份额。技术这碗饭，端得稳不稳，全看手脚快不快。