漏洞法律
2017年，漏洞法律美国一位安全研究员在特斯拉车载系统里发现了一个漏洞——通过远程控制，漏洞法律可以偷偷关闭行驶中车辆的漏洞法律引擎。他没有恶意利用，漏洞法律而是漏洞法律按行业惯例向特斯拉提交了报告。特斯拉的漏洞法律反应不是感谢，而是漏洞法律一纸律师函，威胁要起诉他“违反用户协议”。漏洞法律这事儿当时在安全圈炸了锅。漏洞法律漏洞本身是漏洞法律代码的缺陷，但法律对漏洞的漏洞法律态度，才是漏洞法律更大的漏洞。
法律界有个尴尬的漏洞法律现状：漏洞发现者往往处于灰色地带。你研究一个系统，漏洞法律必然要突破它的漏洞法律访问限制，哪怕你的目的只是找出问题。可《计算机欺诈和滥用法》这类法律，字面上看，任何未经授权的访问都是犯罪。这就好比有人发现你家门锁有缺陷，他为了验证这个缺陷，用一根铁丝打开了门——结果他没偷东西，反而告诉你要换锁，你却报警抓他。荒唐吗？但现实里，很多研究员就是这么被对待的。
更麻烦的是，漏洞交易市场已经形成了一条产业链。政府机构买漏洞用于攻击，安全公司买漏洞用于防御，中间商赚差价。2021年，以色列公司NSO集团的间谍软件漏洞被曝出，能直接入侵苹果和安卓手机。他们声称只卖给政府，但哪国政府、用来监控谁，没人管得清。法律在这里基本失语——漏洞不是实物，它是一段逻辑，可以无限复制，流转到任何角落。你没法像管制枪支一样管制一段代码。
我认识一个白帽子，他去年发现某银行App的漏洞，能让任意用户转账时篡改收款账号。他提交报告后，银行沉默了两周，然后悄悄修复了。没给他一分钱奖励，也没说任何感谢。他问我：“如果我把这个漏洞卖给黑产，能赚几十万，而且几乎不会被抓到，我为什么还要当好人？”我答不上来。法律的缺位，正在惩罚那些选择站在光里的人。
立法者不是没尝试过。欧盟的《网络安全法案》里模糊地提到了“善意研究”，但什么叫善意？没有明确边界。美国一些州开始推出“安全港”条款，允许在特定条件下测试系统，但企业可以随意选择是否加入。现实是，大多数公司宁可不承认漏洞存在，也不愿承担公开后的风险。这种心态反而让漏洞更危险——你捂着，别人可没闲着。
漏洞法律的本质，是给“发现”和“利用”之间画一条线。但代码世界没有物理边界，一条线的隐喻在分布式系统里失效了。或许该换个思路：法律不该只惩罚未经授权的访问，而该惩罚“未经授权的利用”。前提是，你得先定义什么是“利用”——而这件事，比修一万个漏洞都难。