内容摘要：2021年9月1日，《网络产品安全漏洞管理规定》正式施行。这份由工信部、国家网信办、公安部联合出台的文件，总共才二十一条，却把漏洞披露、修复、销售这些长期处于灰色地带的事儿，一下子拉进了法治轨道。 漏

2021年9月1日，网络《网络产品安全漏洞管理规定》正式施行。产品这份由工信部、安全国家网信办、漏洞公安部联合出台的管理规定文件，总共才二十一条，全文却把漏洞披露、网络修复、产品销售这些长期处于灰色地带的安全事儿，一下子拉进了法治轨道。漏洞 漏洞这事儿，管理规定过去是全文典型的“三不管”。白帽子挖到漏洞，网络想报告给厂商，产品经常石沉大海。安全厂商怕曝光影响股价，捂着不修。漏洞在黑市上却能卖出天价——一个iOS远程越狱漏洞，在黑市能换回两百万美元。而普通用户呢，往往是在漏洞被利用、数据泄露上了新闻之后，才知道自己早就成了靶子。 规定最狠的一条，是明确要求“网络产品提供者应当在得知漏洞后24小时内向工信部报送”。24小时，这个时限卡得相当紧。以前厂商发现漏洞，先内部评估、排期、攒几个一起修，拖上三五个月是常事。现在不行了，知情不报就是违规。我认识一个做安全运维的朋友，他吐槽说现在厂商的安全团队最怕的不是漏洞本身，而是“知道漏洞但没报”的责任认定——这玩意儿比漏洞本身还烫手。 对白帽子黑客来说，规定给了他们一条合法的路。过去挖洞是个灰色爱好，搞不好就被扣上“非法侵入计算机信息系统”的帽子。现在规定明确，经过授权的安全测试、漏洞研究是合法的，但前提是“不得恶意传播”。这里头的分寸感很微妙——你把漏洞发到朋友圈炫耀，跟提交给国家漏洞库，性质完全两样。我见过有白帽在群里晒漏洞截图，结果被厂商报警的案例，真不是吓唬人。 规定还堵住了一个特别隐蔽的口子：漏洞交易。以前有些平台打着“安全研究”的旗号，干的是撮合漏洞买卖的生意。买家是谁？可能是安全公司，也可能是境外情报机构。新规直接禁止“利用网络产品安全漏洞从事危害网络安全的活动”，等于把漏洞当成了受管制的特殊商品。这个转向挺有意思——漏洞从“技术能力”变成了“公共安全资源”。 但规定也不是没有争议。有安全研究员私下抱怨，24小时上报时限太死板，有些复杂漏洞需要反复验证，仓促上报容易误报。还有厂商担心，漏洞信息在内部流转环节多了，泄露风险反而增加。这些声音未必全对，但确实说明规矩立起来之后，执行层面的细节还得磨合。 说到底，这份规定最实在的地方，是把“漏洞”这件事从技术圈子的自嗨，变成了有明确责任主体的法律事务。它没解决所有问题——比如对漏洞利用工具的管控依然薄弱，跨境漏洞交易也难追溯——但至少让厂商、白帽、平台三方都有了可预期的行为边界。对于普通用户，这份文件的意义更简单：你手机里那些App的厂商，现在有法定义务在24小时内报告他们知道的漏洞。至于修不修、什么时候修，那是下一步的事。但至少，黑暗中的交易被撕开了一道口子，阳光照进来了，哪怕只是一条缝。