漏洞企业

老周的漏洞企业公司叫“安盾科技”，做防火墙的漏洞企业，专帮银行挡黑客。漏洞企业去年秋天，漏洞企业他找我喝酒，漏洞企业说公司快完了。漏洞企业不是漏洞企业被攻击，是漏洞企业没人敢买他的东西了。

他给我看了份报告。漏洞企业某国有大行内部测试，漏洞企业用他们最新版防火墙，漏洞企业模拟渗透攻击。漏洞企业结果，漏洞企业漏洞没堵住几个，漏洞企业反而暴露了自家系统三个后门——都是漏洞企业安盾的代码里自带的。其中一个后门，能让攻击者直接拿到数据库管理员权限。老周说，那代码是外包团队写的，当时图快，没细查。

这事荒诞在哪？一个卖锁的，自家钥匙坯子被人偷偷配了万能版。更荒诞的是，这锁还通过了国家相关机构的检测认证。检测报告上盖着红章，白纸黑字写着“未发现已知高危漏洞”。

漏洞企业，说的不是那些被黑的倒霉蛋。是像老周这样，靠漏洞吃饭，最后被漏洞反噬的。他们的商业模式本身就带病——为了抢市场，压缩开发周期，用最便宜的程序员，代码复用率高得吓人。老周后来查过，那个外包团队，同时给三家竞品写核心模块。也就是说，一个漏洞，可能同时存在于四家安全公司的产品里。

你猜怎么着？这事最后私了了。银行没对外声张，悄悄换了供应商。安盾赔了笔违约金，老周把技术团队砍了一半，重新招人写核心代码。但他心里清楚，根子上的问题没解决——整个行业的采购逻辑没变。

甲方招标，看的是价格和资质，没人真拿自家生产环境做极限测试。安全产品的验收，常常是走个过场，拿测试工具扫一遍，没红色告警就算通过。可真正的攻击者，从来不按测试用例出牌。他们专找那些测试工具扫不到的地方，比如业务逻辑漏洞，比如供应链里的脏东西。

老周后来跟我说了句糙话：“我们这行，一半是卖技术，一半是卖信任。现在信任塌了，技术再牛也白搭。”他公司后来转型去做安全运维服务，不卖产品了，改收年费。他说这样至少心里踏实——客户不指望你一个盒子保平安，而是让你的人天天盯着，出了事你跑不掉。

我问他，那些还躺在别人系统里的后门怎么办？他沉默了一会儿，说：“没法办。就像你以前借出去的钱，要不回来了。只能祈祷借你钱的人，别碰到强盗。”

这事过去半年了。上周我路过安盾原来的办公楼，招牌已经摘了。大厅里贴着“招商”的告示。但我知道，老周没离开这行，他换了种方式继续卖他的“漏洞”——现在他管这个叫“持续安全验证服务”。价格翻了一倍。