挖漏洞合法

挖漏洞本身不违法。挖漏违法的洞合是你拿漏洞去干了什么。

2016年，挖漏某位叫马库斯的洞合德国程序员在谷歌浏览器里发现了一个沙箱逃逸漏洞。他没卖，挖漏没公开，洞合直接提交给了谷歌的挖漏漏洞奖励计划。谷歌验证后付了他三万美金。洞合整个过程合法得像去银行存钱。挖漏同一年，洞合另一个黑客把类似的挖漏漏洞卖给了意大利一家监控软件公司，那家公司转手把利用工具卖给了各国政府。洞合后来这事被曝光，挖漏那人被FBI找上门。洞合区别在哪？挖漏前者叫安全研究，后者叫武器交易。法律看的是行为链条的终点，不是你坐在电脑前敲键盘那一刻。

国内的情况更具体。刑法第285条、286条、287条，三条把非法侵入、破坏系统、帮助信息网络犯罪安排得明明白白。但条文里有个关键前提——“未经授权”或“超越授权”。你拿自己的路由器练手，拿靶场环境做实验，拿SRC（安全响应中心）公开的测试范围去挖，授权链条是完整的。乌云网当年为什么能活那么久？因为它搭了一个厂商和研究者之间的授权通道。厂商说“来挖”，研究者才动手。后来乌云关了，不是因为挖漏洞违法，是因为平台没管住白帽子里混进来的黑产。

我认识一个做车联网安全的人。他跟我说，他们团队每年要买几十台不同品牌的车，拆中控、刷固件、抓CAN总线报文。听起来像偷车贼。但他们每次动手前，法务会先发函给车厂，说明测试范围、时间、不公开细节的承诺。有的车厂回函授权，有的不回。不回的那些，他们就不碰。他说过一句话我印象很深：“技术没有合法非法，但你的键盘有。”这话有点装，但道理是对的。

漏洞奖励平台HackerOne上，有个数据挺有意思。2023年他们付给白帽子的奖金超过3亿美金。这些钱全部来自厂商自愿掏腰包。厂商为什么愿意掏？因为黑市上同一个漏洞可能卖到几十万甚至上百万美金。厂商用奖金把漏洞从黑市拉回白市。这个逻辑成立的前提是：挖漏洞的人相信合法路径能变现。如果合法路径被堵死，或者法律边界模糊到让人害怕，那漏洞只会流向出价更高、不在乎合法性的买家。

有人会说，那我不卖，我就自己留着研究行不行？行。但你得管住手。2017年有个案例，一个安全研究员在未授权的情况下测试了某航空公司的系统，发现了漏洞，然后他提交给了厂商。厂商报警了。法院最后判了缓刑。法官在判决书里写了一句：发现漏洞后的第一时间应停止测试并联系厂商，而非继续深入获取数据。你看，法律不惩罚好奇心，但惩罚越界后的“继续”。

所以“挖漏洞合法”这句话，缺了主语和宾语。完整的表述应该是：在授权范围内，以披露和修复为目的的漏洞挖掘行为，合法。反过来，未经授权、以牟利或破坏为目的的挖掘，不合法。边界不在技术难度，不在工具类型，甚至不在你有没有造成实际损失。边界在“授权”两个字上。

我写这些不是给黑产洗地。恰恰相反，把合法边界讲清楚，才能让真正做研究的人不踩线，也让钻空子的人没法拿“技术无罪”当挡箭牌。技术从来都是中性的，但技术人员的每一个选择，都在给这个中性打上标签。