一个能远程执行代码的漏洞价格零日漏洞，在灰色市场上的漏洞价格报价可以超过200万美元。这不是漏洞价格猜测，是漏洞价格Zerodium几年前公开的价目表。他们给iOS零点击漏洞开价250万美元，漏洞价格Android同样级别150万。漏洞价格而同一时期，漏洞价格苹果官方漏洞赏金最高才100万——还得是漏洞价格少数几个特定类型的漏洞。
官方价格和地下价格之间的漏洞价格差距，本身就是漏洞价格一篇文章。
我认识一个做渗透测试的漏洞价格朋友，他跟我说过一件事。漏洞价格他花了两周时间在某个国产路由器固件里挖到一个栈溢出，漏洞价格能拿到root shell。漏洞价格提交给厂商，漏洞价格对方回复说"感谢反馈"，然后给了个价值200块的京东卡。他把漏洞细节挂到某个论坛上，当天就有人私信他，出价8000美元，要求独家。
他没卖。但他说他犹豫了整整一个晚上。
漏洞的价格从来不是由技术难度决定的。决定价格的是利用价值。一个在Chrome里能实现沙箱逃逸的漏洞，Google愿意付20万美元，因为Chrome是全球用户最多的浏览器，攻破它意味着能触达几十亿终端。而一个冷门工控软件里的漏洞，即使同样精妙，可能连5000美元都卖不到——因为攻击面太小。
供需关系在这里赤裸得可怕。
零日漏洞的买家大致分三类。一类是各国政府的安全机构，他们买漏洞用于情报收集或网络武器研发。一类是商业监控公司，比如已经臭名昭著的NSO Group，他们买漏洞做成产品卖给政府客户。还有一类是犯罪组织，用漏洞来传播勒索软件或窃取数据。这三类买家的出价能力依次递减，但即使是犯罪组织，也比大多数厂商的漏洞赏金给得多。
厂商为什么给得少？因为对他们来说，漏洞赏金是成本，不是收入。一个漏洞被修复了，厂商并不会因此多赚一分钱。但对买家来说，漏洞是生产资料——它能打开一扇门，门后面的东西值多少钱，漏洞就值多少钱。
这种价格倒挂造成了一个荒诞的局面：发现漏洞的人面临道德考验。卖给厂商，拿点小钱，漏洞被修复，世界稍微安全一点。卖给地下市场，拿大钱，漏洞被利用，可能有人因此遭殃。但如果你是一个在安全行业边缘挣扎的独立研究者，没有大厂背书，没有稳定收入，这个选择并不轻松。
更麻烦的是，漏洞价格还在涨。2021年，一个能绕过iOS 14.5所有缓解措施的链式漏洞，据传成交价超过500万美元。而同年，苹果把最高赏金提到了200万。差距在缩小，但依然存在。
我有时候会想，如果漏洞的价格完全由市场决定，那安全本身是不是一种奢侈品？厂商用赏金来定价安全，但赏金永远追不上黑市的出价。这意味着，总有一些漏洞会流向出价最高的人，而不是最需要修复的人。
这不是技术问题。这是经济学问题。而经济学问题，从来就没有简单的答案。