内容摘要：2023年秋天，一个叫李明的年轻人收到了银行短信：账户到账5000美元。这笔钱来自一家他从未去过的美国公司，理由是他三个月前提交的一个漏洞报告。那个漏洞藏在某款智能门锁的固件里，能让攻击者在十米外悄悄

2023年秋天，漏洞奖金一个叫李明的漏洞奖金年轻人收到了银行短信：账户到账5000美元。这笔钱来自一家他从未去过的漏洞奖金美国公司，理由是漏洞奖金他三个月前提交的一个漏洞报告。那个漏洞藏在某款智能门锁的漏洞奖金固件里，能让攻击者在十米外悄悄打开门锁。漏洞奖金李明没花什么力气，漏洞奖金只是漏洞奖金用手机蓝牙嗅探了几天数据包，发现加密算法有个低级错误——密钥生成用了固定时间戳。漏洞奖金厂商修完漏洞，漏洞奖金按规则付了奖金。漏洞奖金

漏洞奖金这东西，漏洞奖金说白了就是漏洞奖金“你帮我找毛病，我按毛病大小给钱”。漏洞奖金听起来像赏金猎人，漏洞奖金但猎人打的是野兽，这些人打的是代码里的虫子。1995年，网景公司第一次公开悬赏找浏览器漏洞，奖金是现金加T恤。那时候没人当回事，觉得是极客之间的游戏。二十多年过去，这游戏变成了正经生意。谷歌、微软、苹果每年掏几百万美元买漏洞，一个能远程控制iPhone的漏洞，黑市上能卖到250万美元，厂商的奖金池通常只给一半。但多数白帽黑客还是选厂商，因为合法，钱干净，还能在圈子里攒名声。

我认识一个做漏洞赏金的人，网名叫“灰猫”。他白天在杭州一家公司写后端代码，晚上九点后打开虚拟机，开始扫各种目标。去年他靠一个电商平台的支付逻辑漏洞拿了8万人民币。那个漏洞其实不复杂：下单时把价格参数改成负数，系统居然会退款到账户。他提交报告后等了六周，平台先修复，再验证，最后发钱。灰猫说这行最磨人的不是技术，是等待。“有时候你报完漏洞，厂商三个月不回消息，你以为被忽略了，突然某天钱到了。”

漏洞奖金不是慈善。厂商算过账：一个高危漏洞如果被恶意利用，数据泄露的赔偿、股价波动、公关费用加起来，可能是奖金的几百倍。2017年，Equifax因为没及时修补一个已知漏洞，泄露了1.47亿人的信息，最后赔了至少14亿美元。如果当时有人提前报告，奖金顶多几万美元。这种对比让越来越多的公司设立漏洞赏金计划，从科技巨头到银行、汽车厂商，甚至五角大楼。美国国防部搞过“黑掉五角大楼”项目，一个月收到138个有效漏洞，总奖金不到15万美元。划算。

但钱不是全部。很多漏洞猎人更在意“第一个发现”的刺激感。有个叫王磊的研究员，花四个月研究某款路由器的固件，最后找到一个能绕过所有认证的漏洞。厂商给他发了奖金，还寄了一件印着“安全研究员”的卫衣。他把卫衣挂在办公室，说这比钱有面子。这种心理很微妙：你面对的是几十万行代码，别人没看出来，你看出来了。那种掌控感，跟解一道超难的数学题差不多。

漏洞奖金也有阴暗面。有人把同一个漏洞拆成多个报告，骗多份奖金。有人故意在开源项目里植入漏洞，等别人发现后自己再“抢报”。还有厂商把漏洞赏金当公关工具，设个计划但不认真处理报告，猎人白忙活。2021年，某国内厂商被曝出拖延支付奖金，几个顶尖猎人直接公开漏洞细节，闹得很难看。信任这东西，在漏洞赏金里比技术还重要。

李明拿到那5000美元后，请朋友吃了顿火锅。他说下次想试试汽车固件，“那个更贵”。我没问他会不会继续，因为答案很明显。漏洞奖金这行，一旦尝过那种“找到别人找不到的东西”的滋味，就很难停下来。钱是燃料，好奇心才是发动机。