凌晨三点，漏洞HackerOne上一条新提交的赏金漏洞报告让某家硅谷创业公司的安全团队彻底没了睡意。一个白帽子在测试他们刚上线的计划API时，发现了一个越权漏洞——用普通用户的漏洞token就能读取其他企业客户的发票数据。从提交到修复，赏金整个过程不到六小时。计划这家公司付了四千美元赏金，漏洞换来的赏金是避免了一场可能上头条的数据泄露。

漏洞赏金计划，计划说白了就是漏洞企业花钱请全球的黑客来“合法入侵”自己。这事儿听起来有点自虐，赏金但逻辑很直接：与其等着恶意攻击者找到漏洞卖到暗网，计划不如让发现者直接把漏洞交到你手里。漏洞我跟踪过几十个赏金项目，赏金发现一个规律——那些把赏金计划当摆设的计划公司，往往也是被黑得最惨的。某家做在线协作工具的公司，早期舍不得掏赏金，结果一个XSS漏洞被利用，用户文档被批量导出，公关危机花的钱够付十年赏金。

但赏金计划不是挂个页面就完事。见过太多企业犯同一个错误：把赏金当外包，扔个测试环境出去，然后对报告爱答不理。有个独立安全研究员跟我吐槽，他提交了一个能直接接管管理员账户的漏洞，厂商拖了三个月才回复，最后给了两百美元“感谢费”。他直接拉黑了那家厂商。赏金计划的核心不是钱，是响应速度和尊重。你让白帽子等，下次他们就去挖别家了。

定价也是个技术活。定低了没人来，定高了成本失控。我见过最聪明的做法是一家支付公司搞的阶梯赏金：低危漏洞给积分换周边，中危起步五百美元，高危直接五千起，严重漏洞单独议价。他们还搞了个“漏洞质量分”，报告写得越清晰、复现步骤越详细，额外加20%。结果呢？他们收到的有效报告数量是同类公司的三倍。白帽子也是人，你给的正反馈越明确，他们越愿意花时间在你身上。

还有个容易被忽略的点——内部团队的参与。很多公司把赏金计划完全甩给安全部门，开发团队根本不关心。但漏洞修不修、修得快不快，最终靠的是开发。我观察到一个案例：某电商平台把赏金漏洞的修复纳入开发团队的季度OKR，修一个高危漏洞算两个故事点。结果平均修复时间从两周缩到两天。安全团队再也不用追着开发跑，因为开发自己就盯着赏金面板看。

当然，赏金计划不是万能药。它擅长发现逻辑漏洞、权限绕过、业务流缺陷这类自动化扫描器搞不定的问题。但如果你连基本的补丁管理都没做好，服务器上还跑着三年前的Struts2，那赏金猎人进来第一件事就是扫这些已知漏洞——你付的赏金其实是在为技术债买单。我见过一家公司，赏金计划上线第一个月收到47个报告，其中43个是没打补丁的已知漏洞。这钱花得冤不冤？

最后说个真实场景。某社交平台搞赏金计划，有个白帽子连续提交了五个低危漏洞，都是信息泄露类的。安全团队没嫌烦，每个都认真回复，还问他有没有兴趣看看他们的新功能。第六次，这个白帽子直接交了一个能绕过双因素认证的严重漏洞。他说：“你们是我遇到唯一一个把低危也当回事的团队，所以我愿意多花点时间。”你看，赏金计划说到底是一场信任游戏。你认真对待每一个报告，白帽子就会认真对待你的系统。反之，你敷衍他一次，他下次连扫都懒得扫。

现在打开任何一个赏金平台，都能看到几千个活跃项目。但真正跑得好的，永远是那些把白帽子当合作伙伴而不是外包工的公司。漏洞赏金不是买保险，是建关系。关系到位了，漏洞自然就少了。