内容摘要：乌云网2010年上线的时候，圈内人管它叫“漏洞银行”。白帽子挖到洞，提交上去，厂商确认修复，乌云给积分。积分能换什么？换不了钱，但能换名声。在那个圈子里，名声比钱值钱。 我认识一个叫老K的人，2013

乌云网2010年上线的乌云漏洞时候，圈内人管它叫“漏洞银行”。乌云漏洞白帽子挖到洞，乌云漏洞提交上去，乌云漏洞厂商确认修复，乌云漏洞乌云给积分。乌云漏洞积分能换什么？乌云漏洞换不了钱，但能换名声。乌云漏洞在那个圈子里，乌云漏洞名声比钱值钱。乌云漏洞

我认识一个叫老K的乌云漏洞人，2013年往乌云扔过一个某电商平台的乌云漏洞支付逻辑漏洞。他跟我说，乌云漏洞那天凌晨三点，乌云漏洞他拿自己的乌云漏洞账号下单，把价格改成0.01元，居然支付成功了。他没敢多买，就下了一单，截图，提交。第二天乌云首页挂出来，厂商连夜修复。老K说那感觉“比中彩票还爽”。

这就是乌云当年的生态。白帽子有地方说话，厂商有地方看漏洞，中间不需要任何招标流程、不需要签合同、不需要等排期。一个漏洞从发现到公开，最快几个小时。

但问题也出在这。

乌云的漏洞披露机制有个默认规则：厂商确认并修复后，漏洞详情才会公开。可现实中，很多厂商根本不搭理你。老K那个支付漏洞，厂商倒是回得快。更多时候，白帽子提交一个洞，厂商装死，乌云催几次没反应，最后按“已忽略”处理。白帽子白干，厂商当无事发生。

2015年，乌云曝出一个某航空公司的漏洞，涉及大量乘客信息。厂商第一时间不是修，是找乌云删帖。乌云没删。这事闹得很大，圈外人第一次知道原来有个网站天天在曝光各种系统的漏洞。

然后就是2016年7月。乌云突然无法访问。官方说法是“进行升级”，但圈里人都知道出事了。后来证实，乌云创始人方小顿等人被警方带走，原因是涉嫌非法获取计算机信息系统数据。具体细节至今没完全公开，但核心争议点很清楚：白帽子挖漏洞的边界在哪？

你用自己的账号测试，算不算“非法获取”？你发现漏洞后没及时通知厂商，而是先提交到第三方平台，算不算“披露”？这些问题在2016年之前没人认真回答过。乌云跑得太快，规则没跟上。

我后来跟一个做安全合规的律师聊过。他说乌云的悲剧在于，它用民间力量干了本该由官方或行业联盟干的事，但法律没给它留位置。白帽子提交漏洞，本质上是“未经授权访问系统”，哪怕你动机是好的。厂商不追究，没事；厂商追究，一抓一个准。

乌云关站后，补天、漏洞盒子这些平台还在，但玩法变了。白帽子开始签授权协议，厂商开始走SRC（安全应急响应中心）流程。漏洞还是那些漏洞，但中间多了层法律防火墙。老K后来转去做企业安全了，他说现在挖洞之前先看授权范围，“跟以前完全两码事”。

乌云留下的东西不多。一个关掉的网站，一堆没公开的漏洞详情，还有圈里人偶尔提起时的唏嘘。但它至少证明了一件事：中国的白帽子群体是真实存在的，而且有战斗力。只是那套“先挖再说”的野路子，终究走不远。

现在回头看，乌云更像一个早产儿。它跑在了规则前面，然后被规则绊倒了。