有人把漏洞当提款机，漏洞有人把漏洞当年费会员。年费

上周跟一个做安全的漏洞朋友吃饭，他掏出手机给我看了一张截图。年费某甲方公司给他发了封邮件，漏洞大意是年费：感谢您提交的漏洞，经评估为高危，漏洞按我司SRC规则，年费奖励您年度VIP会员一份，漏洞有效期12个月，年费可享受商城购物九折、漏洞专属客服通道等权益。年费

他盯着那张截图，漏洞表情像吞了只苍蝇。年费“我花三天挖出来的漏洞命令执行，就值一张九折卡？”

这事儿不是孤例。另一家公司的SRC更绝，漏洞奖励直接挂钩“积分商城”，高危漏洞给5000积分，而商城里的爆款商品是——印着公司Logo的帆布袋，标价8000积分。你要想换个帆布袋，还得再搭两个中危漏洞进去。

漏洞年费会员，这个词是我编的。但它精准概括了一种现象：厂商把安全研究者当成了“付费用户”，而不是“贡献者”。

逻辑链条是这样的：你发现了我的问题，我不给钱，但我给你一个“会员身份”。这个身份让你觉得，你好像赚了。实际上，会员权益的成本对厂商来说几乎为零——九折卡？你本来就不是目标客户。专属客服？你一年能打几次电话？帆布袋？义乌批发价六块五。

更微妙的是“年费”这个设定。它制造了一种持续关系的假象。你今年交了漏洞，拿了会员；明年会员到期，你是不是得再挖一个？否则“权益”就断了。这跟健身房卖年卡一个道理，赌的就是你交了钱不来。SRC赌的是你拿了会员，明年还会继续白干。

我认识一个白帽子，他管这叫“赛博乞讨”。他去年给某大厂交了七个漏洞，其中两个高危。年底收到一份“年度安全贡献者”电子证书，PDF格式，带水印。他打开看了一眼，关掉，继续挖下一家。我问他为什么不拒绝这种奖励，他说：“你拒绝，人家就说你不支持SRC生态。你接受，至少还能在群里晒一下，证明自己没闲着。”

厂商这边也有自己的账本。一个漏洞，如果走第三方平台，要付真金白银，还要走财务流程、签合同、开发票。换成“会员权益”，成本归入市场部预算，甚至算作“用户运营支出”。而且，给钱意味着承认漏洞的严重性，给会员则暗示“这是个社区互动”。性质完全不同。

有个安全负责人私下跟我说过实话：“我们不是没钱，是觉得没必要。你挖漏洞，不就是为了名气吗？我给你名气，给你头衔，给你一个‘年度会员’的标签。钱？钱要留给渗透测试供应商。”

这话听着刺耳，但逻辑自洽。在厂商眼里，白帽子分两种：一种是有商业合同的渗透测试团队，一种是“自愿贡献”的民间研究者。后者给会员，前者给支票。至于漏洞本身的风险？他们赌的是没人会真的利用。

所以“漏洞年费会员”的本质，是把安全研究变成一场订阅制游戏。你续费，是因为你舍不得那个身份标签。你挖洞，是因为你怕会员过期。而厂商，永远稳赚不赔。

我那个朋友最后没领那张九折卡。他把邮件截图发到群里，配了一句话：“下次我交漏洞，能不能直接给我折现？哪怕按帆布袋的批发价。”没人回复。群里安静了几秒，然后有人发了个新的漏洞详情页链接。

大家继续挖。会员继续发。