网络产品安全漏洞奖励：钱给到位，网络漏洞才会浮出水面
2023年4月，产品一个ID叫“ipwn”的安全年轻人在某知名国产浏览器里挖到一个能远程执行代码的致命漏洞。他没把这个漏洞卖给黑市——那里出价至少六位数美元——而是漏洞提交给了厂商的漏洞奖励计划。厂商回复很快，奖励流程也顺畅，网络但最终到账的产品奖金是8000元人民币。ipwn在技术社区里发帖说：“下次我可能得考虑一下了。安全”
这不是漏洞孤例。国内某头部互联网公司的奖励安全应急响应中心（SRC）年度报告显示，2022年他们收到的网络有效高危漏洞报告超过4000个，但平均单个漏洞奖励金额不足3000元。产品而同一时期，安全国际知名漏洞众测平台HackerOne上，漏洞一个高危级别的奖励浏览器漏洞，中位奖金在1.5万到5万美元之间。差距是数量级的。
漏洞奖励的本质，是用金钱换取安全时间。一个零日漏洞在黑市上的价格，取决于影响范围和利用难度。Chrome的远程代码执行漏洞，在暗网论坛标价20万美元起步。iOS的越狱链，价格能到百万美元级别。厂商如果只愿意出几百块到几千块人民币，那逻辑就很清晰：要么黑客有情怀，要么漏洞不值钱。
但情怀不能当饭吃。我认识一个兼职挖洞的在校研究生，他每个月能稳定提交两到三个中危漏洞，收入大概在1500到3000元之间。他算了笔账：学习漏洞挖掘技术花了三年，每天看源码、搭环境、调调试器的时间平均四小时。按他的时薪算，挖洞回报比去肯德基打工还低。“纯粹是兴趣，”他说，“但兴趣也有耗尽的一天。”
低奖金带来的直接后果是漏洞外流。国内有些厂商的漏洞奖励计划形同虚设，审核周期长达数月，奖金还要扣税。反过来，国外厂商对同一产品线的漏洞收购价高出十倍不止。于是出现了一种尴尬局面：中国安全研究员在国际平台上的漏洞提交量逐年攀升，而国内厂商的SRC却抱怨“高质量漏洞越来越少”。
一个做漏洞经纪的朋友告诉我，他经手的交易里，有超过六成的中国漏洞最终流向了海外买家。“不是我们不爱国，是市场规律在起作用。同样的劳动，为什么非要贱卖？”他说这话时语气平淡，但问题背后的尖锐让人无法回避。
当然，也有做得好的案例。某知名手机厂商在2021年把严重漏洞的最高奖励提到了50万元人民币，并且承诺48小时内响应、14天内完成评定。政策调整后的一年里，他们收到的系统级漏洞报告数量翻了三倍，其中有几个漏洞直接避免了潜在的批量设备被远程控制的风险。钱花得值不值？对比一下，一次大规模数据泄露事件的公关和赔偿成本，动辄上亿。50万买一个可能价值千万的漏洞，这笔账不难算。
漏洞奖励不是慈善，是定价机制。价格低了，漏洞就会流向出价更高的地方——黑市、情报商、外国机构。价格合理，漏洞就会流向能修复它的人。这道理简单得像菜市场卖菜，但很多厂商就是不明白，或者假装不明白。他们宁愿花几百万做营销，也不愿把预算拨给安全应急响应中心。结果呢？漏洞照样存在，只是发现它们的人换了买家。