漏洞赏金计划，漏洞听起来像是不挣黑客的印钞机。但真相是漏洞，绝大多数人在这条路上连一顿外卖钱都挣不到。不挣

我认识一个白帽，漏洞技术绝对不差，不挣CVE编号攥着五六个。漏洞他花了整整三个月，不挣每天下班后蹲在漏洞平台上看新出的漏洞众测项目，啃那些几百页的不挣英文文档，就为了找一个边缘功能点的漏洞逻辑缺陷。结果呢？不挣提交了十几个报告，五个被标记为“重复”，漏洞三个被“N/A”（不适用）打回，不挣剩下两个，漏洞平台审核了俩月，最后说“影响范围有限，不满足奖励标准”。零美元。他跟我说，这行当最值钱的不是技术，是运气和筛选项目的眼光。

漏洞的定价机制本身就离谱。一个严重级别、能直接拿服务器的RCE（远程代码执行），在正规SRC（安全响应中心）里可能值两万块。但同样一个漏洞，在黑市上，或者被某些恶意组织利用，价值翻十倍不止。厂商心里门儿清，所以他们把赏金压得很低，低到刚好够你买杯咖啡，让你觉得“有点回报”，又不至于让你觉得“这活儿能当饭吃”。这是一种精妙的心理操控。

更残酷的是时间成本。你提交一个漏洞，厂商审核周期平均是四十天。四十天里，你投入的精力、电费、脑细胞，全都悬在半空。如果运气好通过了，钱打到你账上，扣完税，可能也就够你请朋友吃顿火锅。如果运气不好，赶上厂商内部变动，或者审核人员心情不佳，一封“感谢提交，但此问题不在本季度安全范围内”的邮件，就能让你所有努力清零。我见过有人为了一个高危漏洞跟厂商来回拉扯了半年，最后拿了三千块，时薪还不如去便利店打工。

别误会，有人确实靠这个挣到了钱，甚至年入百万。但那是金字塔尖的极少数，他们要么是发现了某个大厂的通用型0day（零日漏洞），要么是垄断了某个特定类型漏洞的挖掘技巧。对剩下99%的从业者来说，漏洞赏金更像是一种“技术彩票”。你买了很多张，偶尔中个小奖，但指望靠它生活，大概率会饿死。

我自己的经验是，有一次我花了一整个周末，对一个知名电商平台的优惠券系统做测试。最后真让我找到了一个越权漏洞，可以修改任意用户的积分。我挺兴奋，赶紧写了详尽的报告提交。结果那边回复，说这个漏洞他们内部已知晓，正在修复，所以不予以奖励。你猜怎么着？他们内部知晓的时间，恰好是我提交的前一天。这种“时间差”游戏，你根本没法证明，也没处说理。

所以，漏洞真的不挣钱。它挣的是你发现别人没发现的问题时，那一瞬间的颅内高潮。那种快感很真实，但也很短暂。如果你指望靠这个养家糊口，趁早换个赛道。这活儿，当个业余爱好，偶尔玩一把，心态反而能好点。真要较真往里扎，你会发现，自己搭进去的时间、精力，远比那点微薄的赏金值钱得多。厂商们把“漏洞赏金”包装成一种荣耀，一种与黑客社区“合作”的姿态，但本质上，他们是在用最低的成本，雇佣一群最聪明的人给自己免费打工。