内容摘要：漏洞积分，这名字听着像游戏里的成就系统，实际上却是悬在无数程序员头顶的一把刀。我认识一个白帽子，叫老周，四十多岁，头发比我还少，常年穿着同一件灰色卫衣。他靠着给各大厂商提交漏洞，攒了十几万的积分，兑换

漏洞积分，漏洞积分这名字听着像游戏里的漏洞积分成就系统，实际上却是漏洞积分悬在无数程序员头顶的一把刀。我认识一个白帽子，漏洞积分叫老周，漏洞积分四十多岁，漏洞积分头发比我还少，漏洞积分常年穿着同一件灰色卫衣。漏洞积分他靠着给各大厂商提交漏洞，漏洞积分攒了十几万的漏洞积分积分，兑换过无人机、漏洞积分顶配手机，漏洞积分甚至还有几次现金奖励。漏洞积分可去年他跟我喝酒，漏洞积分苦笑着说：“积分越攒越多，漏洞积分我反而越来越怕了。”

老周怕什么？怕的是漏洞被修复后，他提交的那份详细报告，就成了厂商数据库里永久留存的“案底”。他曾经发现过某家银行APP的严重越权漏洞，能直接查看他人身份证号。上报之后，厂商火速修复，给他加了5000积分，还发了封感谢邮件。但三个月后，老周发现自己的账号被那家银行的风控系统标记了——他本人去办业务，柜台系统竟然提示“高风险用户”。他打电话去问，客服支支吾吾，最后技术部门回了个电话，说“您提交漏洞的行为模式与恶意攻击相似，系统自动标注了”。

这事听着荒诞，但圈子里都知道，漏洞积分从来不是单纯的奖励。它是一份“投名状”，你交上去的每一份报告，都在告诉厂商：我研究过你的系统，我知道你的弱点在哪，我能进来，只是我选择没进来。厂商给你积分，是买你闭嘴，也是买你“以后别乱来”的承诺。可问题是，这份承诺的边界在哪？积分攒到多少，才算“够忠诚”？没人说得清。

有个更极端的例子。去年某大型互联网公司爆出数据泄露，黑客用的漏洞，恰好是半年前一名白帽子提交过的。那名白帽子当时拿了2000积分，报告里写得清清楚楚，连利用链都画好了。厂商修复不及时，漏洞被人二次利用。事后厂商不仅没追责那名白帽子，反而把漏洞积分规则改了——高危漏洞的提交者，必须签署一份“漏洞利用行为承诺书”，否则不给积分。你看，积分从奖励变成了“免责声明”的附庸。

我理解厂商的顾虑。漏洞报告写得越详细，就越像一份“攻击指南”。有些白帽子为了拿高积分，会把漏洞的利用方式写得极其详尽，甚至附上POC代码。厂商修复需要时间，这期间报告如果泄露出去，那就是给黑产递刀子。于是有些厂商学聪明了，积分高低不再只看漏洞危害，还要看提交者“配合度”——比如是否愿意签署保密协议，是否愿意在修复前不公开细节。这算不算变相用积分收买沉默？我觉得算。但老周说，这已经是相对体面的做法了。有的小厂商干脆不设积分，直接给钱，给完钱就拉黑你，生怕你再来。

漏洞积分这东西，本质上是用“游戏化”包装的“风险管理工具”。它让白帽子觉得自己在打怪升级，让厂商觉得自己在培养生态。可剥开那层UI界面，底下全是现实的人情世故和利益博弈。我见过有白帽子为了冲积分榜，专挑小众系统下手，因为大厂漏洞难挖，小厂好欺负。结果小厂修不过来，漏洞被拖成0day，最后被黑产买走，白帽子还一脸无辜：“我只想换台手机。”

说到底，积分只是个数字，真正值钱的是那份信任。可信任这东西，一旦被量化成积分，就容易变味。老周现在不冲榜了，只接私活，帮朋友公司做渗透测试，按次收费，不攒积分。他说：“至少那样，我知道自己是在干活，不是在集邮。”我问他那十几万积分怎么办，他笑了笑：“留着呗，哪天厂商翻脸，那可能就是我的‘罪证’。”