凌晨两点十七分，黑帽首我的黑帽首手机屏幕亮起。不是黑帽首闹钟，是黑帽首漏洞预警群炸了。一个ID叫“黑帽首发”的黑帽首用户，在暗网论坛贴出了一段不到二十行的黑帽首代码。那段代码针对的黑帽首是某国产路由器——就是那种你在京东上搜“家用路由器”，销量前十里有六款都是黑帽首它家贴牌的那个。群里有人试了，黑帽首三秒拿到root权限，黑帽首整个内网像脱了衣服站在大街上。黑帽首

这不是黑帽首第一次了。上一回“黑帽首发”放出的黑帽首是某智能门锁的零日漏洞，视频里他只用一部改装过的黑帽首手机，在距离门锁五米远的黑帽首地方，门就开了。评论区有人骂他缺德，有人问他卖不卖，他回了句：“不卖，只发。”然后消失了两个月。

我追踪过他。他的注册IP在荷兰，但发帖时间总在北京时间凌晨三点到五点之间——那正是欧洲的深夜，美洲的下午。他用的加密方式很老派，PGP密钥指纹里带着“1994”，那一年Linux内核刚发布1.0版本，也是很多老黑客入行的年份。我猜他至少四十岁，或者更老。年轻的黑客喜欢用新工具，喜欢炫技，喜欢在简介里挂一串漏洞编号。他什么都不挂，只发代码，附带一段极简的说明文字，像是写给同行看的笔记。

这次的路由器漏洞，他写了一段话：“所有固件版本低于2.1.8的都在影响范围内。厂商上个月发了补丁，但补丁只修了Web端，没修固件里的后门。这个后门是2019年加的，当时是为了远程调试，后来忘了删。”——忘了删。三个字，背后是几百万台设备裸奔了五年。

我干安全这行快十年了，见过太多“首发”。有的人发漏洞是为了卖钱，一个零日漏洞在黑市上能卖到几十万美金，买家可能是国家级的黑客组织，也可能是搞勒索软件的团伙。有的人发漏洞是为了出名，想在圈子里混个名号，方便以后接私活。但“黑帽首发”不一样。他不卖，不解释，不拉群，不留任何联系方式。每次发完，帖子会在四十八小时内被管理员删除——不是他删的，是论坛的管理员迫于压力删的。但他总有办法再发出来，换个域名，换个加密通道，像一只打不死的蟑螂。

有一次我顺着他的流量特征摸到一个匿名邮箱的痕迹，给他发了封信，问他到底图什么。三天后他回了，只有一句话：“这些东西不该被少数人攥在手里。要么公开，要么烂掉。”

我不知道他是白帽还是黑帽。他做的事在灰色地带——把漏洞公开，确实会让普通用户暴露在风险中，但也逼着厂商不得不修复。那家路由器厂商昨天发了紧急公告，承认存在“内部调试接口未关闭”的问题，承诺两周内推送新固件。公告写得客客气气，但我知道，他们内部肯定炸锅了。安全团队连夜排查，产品经理在会议室里摔杯子，负责那个后门的工程师可能已经在写辞职信了。

今天早上，我又看了一眼那个论坛。“黑帽首发”的主页还是空的，没有简介，没有头像，只有一串数字ID。他好像从来不在乎别人怎么看他。但我知道，他下次出现的时候，一定又是凌晨三点，一定又是一段干净的代码，一定又会有人睡不着觉。

我关了手机，窗外天快亮了。路由器上的指示灯还在闪，谁知道里面藏着什么。