内容摘要：漏洞公布平台 凌晨三点，某安全研究员把刚挖到的路由器远程代码执行漏洞提交到平台。五分钟后，厂商的自动回复邮件弹出来：“已收到报告，将在15个工作日内评估。”他骂了句脏话，关掉电脑。这场景每天都在漏洞平

漏洞公布平台

凌晨三点，漏洞某安全研究员把刚挖到的公布路由器远程代码执行漏洞提交到平台。五分钟后，平台厂商的漏洞自动回复邮件弹出来：“已收到报告，将在15个工作日内评估。公布”他骂了句脏话，平台关掉电脑。漏洞这场景每天都在漏洞平台上演——一边是公布急着要CVE编号的独立白帽，一边是平台能拖就拖的设备厂商。

漏洞公布平台本质是漏洞个信用交易所。你提交漏洞，公布换取的平台是行业声望或现金奖励。但这里有个隐秘的漏洞鄙视链：苹果、谷歌的公布漏洞在ZDI上能卖到几十万美元，而某个国产路由器厂商的平台漏洞，可能只值一张200块的京东卡。更讽刺的是，部分小厂商收到报告后第一反应不是修复，而是反手起诉提交者“危害网络安全”。我见过最离谱的案例——某安防公司把白帽提交的漏洞信息直接转卖给黑产，因为“反正没人知道是我们泄露的”。

平台方当然知道这些乱象。HackerOne、补天这类平台搞了“争议仲裁”机制，但处理速度慢得像树懒。有个朋友提交了某政务系统的SQL注入漏洞，平台判定有效，结果厂商拒绝修复，理由是“系统下个月就报废了”。三个月后漏洞被黑产利用，数据泄露的新闻上了热搜，厂商才慌慌张张发补丁——这时候平台已经悄悄把这条漏洞记录从公开列表里撤了。你看，平台的KPI是“处理率”和“合作厂商数”，不是“真正修好了多少漏洞”。

不过也别把平台说得一无是处。至少它们让“漏洞”从暗网交易变成了可追溯的流程。十年前，你发现漏洞只能卖给黑市，价格看买家心情。现在好歹有公开报价单和漏洞等级标准。有个做渗透测试的老哥跟我说，他现在提交漏洞前会先查平台“厂商响应历史”——如果某厂商过去三年只修复了30%的漏洞，他就直接把漏洞挂到安全社区免费公开。“反正给厂商也是石沉大海，不如让所有用户知道他们买的路由器是个筛子。”

真正的转折点在于“公开策略”的博弈。平台现在流行“90天披露期”：给厂商90天修漏洞，到期不修就公开细节。这招逼着不少大厂动了起来。微软、思科都被这规则推着走，毕竟谁也不想在安全圈丢脸。但小厂商就惨了——人手不够，修不完就公开，公开后股价跌，更没钱修，恶性循环。你问平台管不管？平台说我们只负责“中立协调”，实际上中立就是偏向强者。

最后说点现实的。如果你是个普通用户，别指望平台能保护你。它们保护的是“漏洞经济链”的正常运转——白帽赚到钱，厂商保住面子，平台抽成获利。至于你家那台吃灰的路由器，漏洞公布平台上的记录再详细，也不如你手动换个密码来得实在。真的，我见过太多人一边骂厂商不修漏洞，一边用着默认密码admin/admin。