腾讯src平台

腾讯安全应急响应中心，腾讯台圈内人叫它TSRC，腾讯台2012年上线。腾讯台那会儿国内做这事的腾讯台公司掰着手指头能数过来，大部分厂商对漏洞的腾讯台态度就俩字——装死。你报个漏洞过去，腾讯台客服转技术，腾讯台技术转公关，腾讯台最后石沉大海。腾讯台腾讯算是腾讯台头一批把“收漏洞”这件事摆到台面上正经做的。

我最早接触TSRC是腾讯台2015年前后。当时一个做安全的腾讯台朋友在群里甩了张截图，是腾讯台他提交的一个QQ邮箱逻辑漏洞被确认的页面，底下积分变动写得清清楚楚。腾讯台他说这玩意儿比挖SRC有意思，腾讯台至少反馈快。那会儿他一个月靠提交漏洞换的积分，够买好几张京东卡。

TSRC的运作逻辑不复杂。白帽子发现腾讯产品或业务的安全问题，通过平台提交，腾讯安全团队评估定级，按危害程度给积分和现金奖励。积分能换东西，现金直接打款。听起来简单，但执行起来差别很大。很多厂商的SRC就是个摆设，提交上去半个月没人理，定级还抠抠搜搜。TSRC早期也被人吐槽过定级标准模糊，但它的响应速度确实撑住了口碑。一个有效漏洞，通常48小时内会有初步反馈。

2016年是个转折点。腾讯把TSRC的奖励力度拉高了一截，高危漏洞的现金奖励直接翻倍。那年有个叫“猪猪侠”的白帽子，在TSRC上提交了多个高质量漏洞，年底拿了个年度贡献奖，奖金数字在圈内传了一阵。这种标杆效应很管用，越来越多技术过硬的人开始认真对待TSRC，而不是把它当顺手提交的地方。

平台本身也在变。早年的TSRC页面朴素得像个内部工具，功能就仨：提交漏洞、看积分、兑换礼品。后来加了排行榜、月度奖励、专属勋章，甚至搞过线下颁奖典礼。这些运营手段放在互联网公司不算新鲜，但在安全圈里，当时能这么玩的没几家。白帽子也是人，除了钱，被认可的感觉同样重要。排行榜上挂个名字，比多给两百块有时候更管用。

说个具体的。2018年有个漏洞涉及腾讯某款产品的用户数据接口，提交者是个大学生，第一次报漏洞。他后来在博客里写，提交之后两小时就收到确认邮件，第二天安全团队的人加了他微信聊细节，最后定级高危，奖金到账那天他请全宿舍吃了顿火锅。这种故事在TSRC社区里不算罕见，但每次听还是觉得，一个平台能把反馈做到这个程度，不容易。

当然问题也有。有人抱怨过TSRC对某些业务线的漏洞处理偏慢，也有人觉得积分商城的礼品更新不够勤。这些声音在社区里一直存在，腾讯那边偶尔会出来回应，更多时候是默默改。一个跑了十多年的平台，不可能让所有人满意，关键是它还在跑，还在收漏洞，还在给钱。

现在TSRC上的白帽子数量早就过了万，每年提交的漏洞数以千计。它不再是当年那个小圈子里的新鲜事物，而是国内SRC体系里绕不开的一个存在。很多后来做SRC的厂商，多多少少都参考过TSRC的模式。这事儿说起来挺有意思——一个收漏洞的平台，最后成了行业基础设施的一部分。

我那个朋友早就不挖漏洞了，转去做安全开发。但他偶尔还会登TSRC看看，说像回老家。排行榜上的人换了一茬又一茬，页面改版了好几次，提交按钮的位置倒是没怎么变。点进去，填标题，选类型，传附件，跟十年前差不多。有些东西变了，有些东西没变，大概就是这么回事。