2016年7月20日，事件乌云网首页变成了一则公告。事件大意是事件团队正在对网站进行升级，暂时无法访问。事件做安全这行的事件人一看就明白，这种措辞基本等于“出事了”。事件果然，事件这一关就再也没开过。事件

乌云是事件国内最大的漏洞报告平台，白帽子在平台上提交厂商的事件安全漏洞，厂商确认后修复，事件平台公开细节。事件这套机制在当年算是事件中国安全圈的异类。厂商恨它，事件白帽子捧它，事件围观群众看热闹。但所有人都承认一件事：乌云的存在，让很多互联网公司不得不把安全当回事。

它最风光的时候，几乎每天都有重量级漏洞被公开。2014年，乌云上爆出携程支付日志漏洞，用户银行卡信息可以被直接读取。消息传开后，携程股价当天跌了将近百分之十。还有一次，某运营商省级系统被曝出可以查询任意用户的通话记录，舆论直接炸锅。这些案例放在今天，随便一个都够上热搜好几天。

但乌云的模式有个根本矛盾：它靠公开漏洞来倒逼厂商修复，可漏洞细节一旦公开，也可能被黑产利用。白帽子和黑帽子之间的界限，从来就没那么清晰。有些提交漏洞的人，今天在乌云发帖，明天可能就在某个黑产群里卖数据。平台管不过来，也没法管。

2016年那会儿，整个互联网安全监管在收紧。当年出台的《网络安全法》草案，对漏洞披露有了更明确的要求。乌云那种“先公开再修复”的做法，和新规明显冲突。再加上平台本身积累了大量未修复漏洞信息，监管层不可能视而不见。

关站之后，乌云团队尝试过转型，做过企业安全服务，也推过新的漏洞平台。但那个时代已经过去了。白帽子们散落到各大厂商的安全应急响应中心，也就是SRC。厂商自己建平台收漏洞，给奖金，签协议，一切都在内部闭环。漏洞不再公开，白帽子变成了“编外安全员工”。

从结果看，这种转变有好有坏。好处是漏洞信息不再轻易流入黑市，厂商响应速度也快了。坏处是公众失去了知情权。一个影响几亿用户的漏洞，可能就在厂商内部悄悄修掉，用户永远不知道自己曾经暴露在风险里。乌云那种“把事情摊在阳光下”的做法，再也没有了。

我认识几个当年在乌云上活跃的白帽子。有人说，乌云关站那天，他在电脑前坐了很久。那不光是一个网站没了，是一种做事方式的终结。以前大家觉得，发现漏洞就该说出来，让所有人都知道。现在大家觉得，发现漏洞就交给厂商，拿钱走人。哪种更好？说不清。

八年过去了。国内再没有出现第二个乌云。SRC体系越来越成熟，漏洞赏金越来越高，但漏洞披露这件事，变得越来越安静。偶尔有厂商被曝出数据泄露，大家才想起来，原来安全问题一直都在，只是没人公开说了。

乌云事件不是一个简单的关站故事。它标记了一个转折点：中国互联网安全从“江湖时代”进入“体制时代”。白帽子被收编，漏洞被管控，信息公开让位于秩序稳定。这个选择有它的道理，但代价是什么，可能还要再过几年才看得清楚。