2023年8月，漏洞360漏洞研究院在Apache Log4j2里又挖出一个远程代码执行漏洞。研究院距离那个震惊全球的漏洞Log4Shell事件，才过去一年半。研究院研究院的漏洞人把PoC提交给Apache官方，对方确认、研究院修复、漏洞发公告，研究院整个过程不到72小时。漏洞这不是研究院他们第一次这么快。

很多人知道360是漏洞因为杀毒软件和浏览器。但漏洞研究院这个部门，研究院在安全圈里是漏洞另一回事。它成立于2015年，研究院前身是漏洞360安全应急响应中心里一个专门做漏洞挖掘的小组。后来独立出来，直接向集团技术委员会汇报。编制不大，核心研究员常年维持在四五十人左右，但覆盖的方向很全——Windows内核、浏览器引擎、移动端基带、IoT固件、云原生组件，甚至包括车机系统。

他们到底在挖什么

漏洞研究院的日常工作分两条线。一条是“主动挖”，针对主流基础软件做代码审计和Fuzzing测试。另一条是“应急响应”，当某个高危漏洞突然爆出来，比如2021年底的Log4Shell，他们要在几小时内判断影响面、写出检测规则、推给360的安全产品。

主动挖的成果更值得说。举几个具体的：

2017年，研究员刘健皓在特斯拉Model X的车载娱乐系统里发现多个漏洞，可以远程解锁车门、启动车辆。特斯拉后来通过OTA修复，马斯克在推特上专门提了一句。2019年，他们又攻破了宝马的ConnectedDrive系统。2021年，Windows PrintNightmare漏洞爆发前，研究院已经向微软提交了相关漏洞报告，只是微软当时没当回事。

浏览器方向是他们的强项。Chrome和Edge的漏洞致谢名单里，360漏洞研究院的名字出现频率很高。2022年Pwn2Own温哥华站，他们用三个漏洞组合拿下了特斯拉Model 3的网关，赢得一辆真车。这不是表演赛，是实打实的攻击链。

人是怎么干活的

我跟研究院一个做内核方向的研究员聊过。他说他们内部有个规矩：每个季度必须交出一份“有分量的东西”。什么叫有分量？要么是某主流系统的0day，要么是对已公开漏洞的深度利用链。没有KPI考核，但季度评审会上如果拿不出东西，自己会觉得待不下去。

工具方面，他们自研了一套自动化漏洞挖掘平台，内部叫“360 Vulcan”。基于代码分析和符号执行，能对大型二进制程序做定向模糊测试。但研究员普遍认为，工具只能解决30%的问题，剩下的靠人读代码、靠经验猜路径。那个内核研究员说，他最长的一次连续读了六周Windows内核源码，最后在一个很少人关注的驱动里找到了提权漏洞。

研究院的对外输出也很有意思。他们有自己的博客和GitHub仓库，PoC和writeup写得详细，不藏着掖着。安全圈里有人觉得他们太高调，但研究院的人说，公开才能推动厂商更快修复。这个逻辑在Log4Shell事件里被验证了——他们是最早发布检测脚本的团队之一。

商业公司里的非商业团队

漏洞研究院不直接赚钱。它的产出变成360安全产品的检测能力，变成企业客户的威胁情报，变成品牌在安全圈里的技术声望。周鸿祎给这个团队的定位是“技术制高点”，不背营收指标。这在商业公司里很少见。

但压力不小。漏洞挖掘是典型的“结果导向”工作——挖到了就是挖到了，没挖到说什么都没用。研究院每年在Pwn2Own、GeekPwn这些赛事上拿奖，奖杯背后是大量失败的尝试。一个研究员可能花三个月研究某个协议栈，最后发现此路不通。这种时候只能换方向重来。

2023年他们开始把更多精力放在云原生和AI基础设施上。Kubernetes、容器运行时、大模型推理框架，这些新目标面的漏洞密度比传统软件高得多。研究院的人说，现在是最好的时候，也是最累的时候——目标多了，但人手永远不够。

漏洞研究院的存在证明了一件事：在中国互联网公司里，纯技术驱动的安全研究团队可以活下来，而且活得不错。他们不写PPT，不追风口，就是一行一行读代码，一个字节一个字节调exploit。这种笨功夫，在当下尤其稀缺。

(责任编辑：热点)