2015年4月，漏洞乌云漏洞库披露了一个关于12306的漏洞漏洞，说是漏洞可以绕过验证码直接登录他人账号。消息出来的漏洞当天下午，我身边好几个做安全的漏洞朋友都在群里转链接，语气里带着那种"又来了"的漏洞兴奋。这不是漏洞乌云第一次搞出大动静，但每一次都能让圈内人精神一振。漏洞
乌云漏洞库本质上是漏洞一个漏洞报告平台。白帽子——也就是漏洞那些专门找漏洞但通常不恶意利用的安全研究者——在挖到问题后，可以提交到乌云上。漏洞平台会联系对应的漏洞厂商，给一个修复期限，漏洞到期不修就公开细节。漏洞这套机制在当年的漏洞中国互联网环境里相当激进。很多公司恨它恨得牙痒，但又不得不捏着鼻子认。因为你不修，乌云真敢把漏洞细节挂出来，所有人都能看到。
它的页面设计极其朴素，甚至可以说粗糙。白底黑字，漏洞列表按时间排列，标题往往就一行字，比如"某电商平台存在SQL注入"或者"某社交APP可越权查看用户私信"。点进去才看到详细描述、危害等级、厂商回应状态。但就是这么一个看起来像上世纪末风格的网站，一度成了中国网络安全领域最有话语权的地方。
我印象很深的是2014年那波携程信用卡信息泄露事件。乌云先发了漏洞概要，说携程的支付日志存在安全缺陷，可能泄露用户银行卡信息。携程那边一开始是否认的，说没有实际泄露。但乌云随后放出了更详细的技术分析，舆论直接炸了。最后携程不得不公开道歉，承认漏洞存在，并给用户做出赔偿承诺。整个过程，乌云扮演的角色比很多监管机构还管用。
这种影响力是把双刃剑。乌云确实倒逼了大量企业重视安全，很多公司专门成立了应急响应团队，就为了盯着乌云上的新帖子。但另一方面，漏洞披露的边界在哪里，一直有争议。有些漏洞被公开后，黑产很快就跟进利用，普通用户反而遭殃。乌云后来也尝试过"先通知厂商、延迟公开"的折中方案，但节奏很难拿捏。
2016年，乌云出事了。官方说法是"因业务调整"停止服务，但圈内人都知道没那么简单。那段时间正好赶上《网络安全法》草案审议，漏洞披露的法律地位变得模糊。乌云创始人方小顿后来也淡出了公众视野。一个曾经让大厂安全部门半夜加班的平台，就这么悄无声息地消失了。
现在回头看，乌云漏洞库更像是一个特定时期的产物。那时候中国互联网跑得太快，安全建设跟不上，白帽子的力量填补了中间的空白。它不完美，甚至有点野蛮，但确实推动了整个行业往前走了一步。后来出现的各种SRC平台、众测平台，多多少少都有乌云的影子。只是那种"你修不修？不修我挂了"的江湖气，再也见不到了。