腾讯漏洞平台（TSRC）的腾讯页面我打开过不下百次。每次提交漏洞，漏洞最紧张的平台不是写报告那一刻，而是腾讯点下“提交”按钮后，盯着状态从“待审核”跳到“已确认”的漏洞那几秒。那几秒里，平台你会反复怀疑自己是腾讯不是漏写了什么细节，或者担心漏洞等级被低估——这种焦虑感，漏洞和你在学校交期末考卷时的平台感觉一模一样。 平台最狠的腾讯设计，是漏洞它的积分规则。不是平台简单的“低危10分、中危30分”那样死板。腾讯它有个“漏洞热度”概念，漏洞同一个漏洞，平台如果被其他白帽发现过，你的积分会打折。这逼着你去挖那些冷门、偏门的逻辑漏洞，而不是整天盯着SQL注入和XSS练手。我见过有人专门去研究微信小程序的支付回调逻辑，就为了找那个“0.01元买会员”的边界条件——这种钻牛角尖的劲头，在TSRC的排行榜上反而最吃香。 腾讯处理漏洞的速度，说实话，比大多数厂商都快。我去年报过一个关于QQ邮箱附件越权读取的漏洞，从提交到确认修复，前后不到48小时。但快也有快的烦恼——他们的修复方案有时候太激进，直接砍掉功能而不是打补丁。有个做自动化脚本的朋友抱怨过，他报了个企业微信的接口漏洞，腾讯直接把那个接口整个下线了，导致他公司的内部工具瘫痪了三天。你说这算修复成功还是修复失败？平台不管，他们只看漏洞是否消除，至于业务连续性，那是你企业自己的事。 平台上的“白帽等级”制度也很有意思。从“青铜”到“钻石”，每个等级对应不同的现金奖励倍数。但升级条件不只看积分总量，还要看漏洞类型覆盖率。你得在Web、移动端、桌面客户端、云服务四个领域都有产出，才能拿到高等级。这逼着白帽们不断跨领域学习——我见过一个专攻PHP代码审计的老哥，为了凑移动端漏洞，硬是啃了两个月Android逆向，最后在微信某个旧版本里挖出一个信息泄露点。这种成长路径，比任何安全培训都管用。 不过，TSRC最近两年有点变味。随着腾讯把安全重心转向AI大模型，平台上关于混元大模型、腾讯云AI接口的漏洞征集明显增多，但传统业务如游戏、社交的漏洞响应速度反而慢了下来。有个老白帽在论坛上吐槽：“以前报个王者荣耀的皮肤购买漏洞，当天就有人跟进，现在拖一周才回复，说在评估影响范围。”这种资源倾斜，让不少擅长传统Web安全的人开始转投其他厂商的SRC。 但话说回来，腾讯漏洞平台依然是国内SRC里最“讲规矩”的。它不会像某些平台那样，你报个高危漏洞，他们先怀疑你是来敲诈的，而是默认信任白帽的善意。这种信任感，才是平台真正的护城河。哪怕现在奖励金额被其他大厂追平，那份“提交漏洞后，客服会主动打电话跟你确认技术细节”的尊重感，依然留得住人。