凌晨三点十七分，漏洞悬赏我盯着HackerOne后台跳出的漏洞悬赏那条新漏洞报告，奖金栏写着500美元。漏洞悬赏一个来自波兰的漏洞悬赏小伙子，用三行Python脚本绕过了我们引以为傲的漏洞悬赏登录验证。他把过程录成了视频，漏洞悬赏配乐是漏洞悬赏《碟中谍》主题曲。那一刻我意识到，漏洞悬赏漏洞悬赏这行当，漏洞悬赏早就不是漏洞悬赏安全圈的自娱自乐了。

2013年，漏洞悬赏雅虎开始给发现漏洞的漏洞悬赏人发T恤。后来T恤变成了现金，漏洞悬赏现金变成了六位数。漏洞悬赏现在微软的漏洞悬赏顶级漏洞赏金能到25万美元，苹果更狠，一百万封顶。数字涨得比房价还快。但钱不是重点。重点是那些提交漏洞的人——他们不穿西装，不打卡，有人住在泰国海边，有人白天是超市收银员，晚上对着Burp Suite发呆。

我见过一个巴西少年，用学校机房的老旧电脑挖到了某银行的核心系统漏洞。报告里附了一张自拍，背景是掉漆的墙面和一台嗡嗡响的风扇。他写：“这钱够我买台新笔记本了。”后来他成了那家银行的安全顾问。漏洞悬赏最迷人的地方就在这儿：它不看学历，不看出身，只看你能不能找到那个别人没看到的裂缝。

但裂缝越来越难找了。十年前，一个SQL注入就能换钱。现在你得研究反序列化链、绕过WAF、构造内存马。厂商也学聪明了，把漏洞赏金项目分成公开和私有，私有项目只邀请信得过的人。新人想挤进去？先刷几百个低危漏洞证明自己。我认识一个哥们，连续三个月每天只睡四小时，就为了攒够积分进谷歌的私有项目。结果进去第一天发现，里面的人早就把容易的都挖完了。

更麻烦的是法律边界。有些国家把未授权的漏洞测试直接定性为犯罪。去年有个研究员在肯尼亚被抓，就因为他在没拿到书面许可的情况下测了政府网站。虽然最后撤诉了，但他在拘留所待了八天。八天够挖多少个漏洞？没人算得清。厂商总说“我们欢迎白帽子”，可白帽子和黑帽子的界限，有时候只差一封律师函。

还有个怪现象：漏洞悬赏养出了一批“赏金猎人”，他们专挑低危漏洞批量提交，用数量换奖金。一个XSS能写十份报告，每份改改参数就行。厂商疲于应付，真正的严重漏洞反而被淹没在垃圾报告里。我见过某平台一个月收到两千份提交，其中一千八百份是同一个CSRF的变种。审核人员快疯了，最后直接关闭了该项目。

但你不能否认这套机制的价值。它让安全从封闭走向开放。以前厂商藏着掖着，怕人知道自己有漏洞。现在他们主动喊：“来挖我啊，给钱。”这种转变花了十几年。我记得2010年参加安全会议，台上的人说“漏洞悬赏不靠谱”，台下都在点头。现在同一批人，名片上印着“漏洞赏金项目经理”。

凌晨四点，我给那个波兰小伙子回了消息：“报告有效，奖金已发。”他秒回一个笑脸。我猜他正坐在某个咖啡馆里，屏幕上开着十几个标签页，继续找下一个裂缝。这行当就是这样，永远有人在你看不见的地方，敲着你看不懂的代码，然后告诉你：你的系统没那么安全。而你得谢谢他。