《网络产品安全漏洞管理规定》施行以来，根据管理规定鼓励最容易被忽略的网络一条，其实是产品那个“鼓励”条款。它不像罚则那样带刺，安全却藏着整个漏洞治理体系最关键的漏洞润滑剂——鼓励企业、研究者、根据管理规定鼓励甚至个人，网络把发现的产品问题摊到阳光下。

我认识一位白帽子，安全去年在某家云服务商的漏洞系统里挖到一个越权漏洞，能读到其他租户的根据管理规定鼓励配置信息。按老规矩，网络他直接提交到CNVD，产品厂商当天确认，安全第三天就上线了补丁。漏洞他没拿一分钱奖金，但按《规定》第十三条，厂商应当给予漏洞发现者“适当奖励”。后来厂商确实寄来一个机械键盘，附带一封手写感谢信。这事听起来像段子，但恰恰说明“鼓励”二字落地时，往往就藏在这些具体而微的互动里。

可现实是，不少厂商把漏洞报告当成公关危机，第一反应是发律师函，而不是按流程定级、修复、反馈。我见过某智能硬件厂商，被研究者报出固件后门后，先删帖再报警，最后查实是外包代码遗留问题。这种对抗姿态，直接掐死了“鼓励”的通道。漏洞研究者的时间也是成本，如果报告一个洞换来的是一纸诉状，那他们宁愿把技术卖给黑市，至少还有比特币进账。

《规定》的鼓励条款其实在下一盘大棋——它试图把漏洞发现从“地下经济”拉回“阳光经济”。比如第十一条要求厂商建立漏洞接收渠道并公开联系方式，这本身就是一种鼓励姿态：你来报，我不但不怪你，还给你开绿灯。但光有渠道不够，得让报漏洞的人看到实际收益。国内有些头部互联网公司已经走在前头，单个高危漏洞奖励从几千到十几万不等，还配套积分体系和年度表彰。有个朋友靠业余挖洞，去年在两家大厂拿了二十多万奖金，他笑称这是“合法副业”。

但中小厂商呢？它们往往没有安全团队，收到报告后连复现都费劲。这时候“鼓励”就得靠外部力量推一把。比如行业协会组织漏洞披露培训，或者由第三方安全公司提供代管服务，把厂商从“不会处理”的困境里捞出来。我见过一个做工业控制的小厂，被研究者报出协议栈溢出漏洞，厂商负责人完全懵了，最后是当地网信办协调了一家安全企业免费帮忙修复。这种案例里，“鼓励”不再是条文里的空话，而是实实在在的救援。

另一个被忽视的群体是漏洞研究者本身。他们最需要的不是钱，而是法律上的“安全港”。哪怕报告有误，只要不是恶意捏造，厂商也不能倒打一耙。《规定》第十三条专门加了“不得泄露漏洞信息”的前提，这就给研究者划了条线：你可以在授权范围内测试，但别把细节晒到朋友圈。这种边界感，其实是保护双方。

说到底，鼓励不是靠文件喊出来的，是靠一次次正向反馈堆出来的。当报漏洞变成一种体面且有回报的技术活动，黑产的人才池自然会枯竭。我注意到一个细节：有些厂商的漏洞奖励页面，会公布年度“最佳白帽”的姓名和事迹，这种荣誉感比奖金更让人上瘾。隔壁组的小伙子就冲着这个榜单，连续三个月通宵复现漏洞，最后真让他刷上了榜首。

所以别再问鼓励条款有没有用。它就像给自行车装了个铃铛——不响的时候你觉着多余，真到了路口，你才知道它能救命。前提是，你得愿意伸手去按。