内容摘要：漏洞没能力，这话听着刺耳，但真在安全圈混过几年的人，心里都门儿清。 前阵子跟个老同事喝酒，他刚从某大厂乙方跳出来。聊起去年那个号称"史诗级"的漏洞，媒体吹得天花乱坠，说什么"可远程控制一切设备"。结果

漏洞没能力，漏洞力这话听着刺耳，漏洞力但真在安全圈混过几年的漏洞力人，心里都门儿清。漏洞力

前阵子跟个老同事喝酒，漏洞力他刚从某大厂乙方跳出来。漏洞力聊起去年那个号称"史诗级"的漏洞力漏洞，媒体吹得天花乱坠，漏洞力说什么"可远程控制一切设备"。漏洞力结果呢？漏洞力他们内部复现的时候，发现触发条件苛刻到要受害者先主动访问一个钓鱼页面，漏洞力还得关掉所有安全软件，漏洞力再手动点十几次确认弹窗。漏洞力这哪是漏洞力漏洞，这是漏洞力行为艺术。

真正的漏洞是什么样？我见过最狠的一次，是某银行系统里一个几乎没人用的旧接口，参数校验漏了个边界值。攻击者只需要发一个精心构造的HTTP请求，连登录都不用。整个过程不到三秒，数据就哗啦啦流走了。那才叫能力——攻击者能力、漏洞利用链的完整度、影响范围的直接性，三者缺一不可。

现在很多所谓的"漏洞报告"，说白了就是拿扫描器跑一遍，把低危告警堆成山。有个朋友在甲方做安全运维，每周收到的漏洞通报里，至少七成是"理论风险"。什么"可能存在SQL注入"、"建议升级openssl版本"，连个完整的利用代码都拿不出来。这种漏洞，你报了等于没报，修了也白修——因为压根没人会这么打。

漏洞的能力，得看它在真实攻击链里站不站得住脚。去年Log4j2那个，确实猛，全球多少服务器裸奔。但你知道后续多少跟风报"类似漏洞"的？全是蹭热度。有个安全研究员私下跟我吐槽，他测了十几个所谓"新发现"，没一个能稳定触发。漏洞圈也卷，但卷的不是数量，是能不能打穿真实系统。

说个反例。某云厂商内部有个老漏洞，藏在对象存储的权限校验逻辑里。攻击者只需要改一个字段值，就能遍历所有用户的私有文件。这漏洞存在了四年，没人报，因为常规扫描器扫不出来——它需要你理解业务逻辑，知道那个字段默认是"false"改成"true"会发生什么。后来被个白帽子用一小时挖出来，直接拿下年度大奖。这才叫有能力的漏洞。

所以别被"漏洞数量"忽悠了。CVE编号满天飞，真正能让安全团队半夜爬起来打补丁的，一年也就那么十几个。剩下的那些，要么是环境特定，要么是交互要求太高，要么干脆就是误报。

漏洞本身没有能力，有能力的是发现它的人，和它背后那条能走通的攻击路径。你报个"理论风险"，不如去研究一下怎么让那个风险变成现实。否则，那漏洞就是个躺在报告里的死代码，连个水花都溅不起来。

说句得罪人的话：要是你提交的漏洞连自己都复现不了第二次，趁早删了报告，别浪费审阅人的时间。漏洞这行，靠的是真本事，不是凑数。