向社会发布系统漏洞

2025年4月17日凌晨2点47分，向社一个ID为“暗涌”的布系用户在技术论坛上贴出了一段代码。那不是统漏攻击脚本，而是向社一份长达47页的漏洞分析报告，直指国内某主流智能家居平台的布系中枢网关。报告里写得清楚：该网关的统漏固件更新机制存在签名验证绕过漏洞，攻击者只需伪造一个特定格式的向社升级包，就能在用户毫不知情的布系情况下接管整个家庭网络。

这事儿最讽刺的统漏地方在于，这家公司三天前刚开完春季发布会，向社把“军工级安全”四个字印在了宣传册最显眼的布系位置。我认识的统漏一位白帽黑客在看完报告后跟我说，那个漏洞其实早在去年年底就有人向厂商提交过了，向社但对方只回了句“已知悉，布系将在后续版本优化”，统漏然后就没下文了。

漏洞公开后的几小时内，论坛评论区炸了锅。有人庆幸自己用的是另一家品牌，有人连夜拔掉了智能门锁的电源，还有人翻出官方客服的聊天记录——客服曾信誓旦旦地保证“系统绝对安全，请放心使用”。

但真正让我后背发凉的不是技术细节，而是另一个事实：这家平台的用户协议里写着，因系统漏洞导致的数据泄露或财产损失，平台方“不承担任何责任”。换句话说，他们一边用“安全”当卖点，一边用法律条款把自己的责任摘得干干净净。

这不是孤例。去年我测试过某款销量过百万的儿童智能手表，发现其定位功能存在越权访问漏洞，任何登录用户都能通过修改参数查看任意孩子的实时位置。厂商收到报告后，花了四个月才修复，期间没有任何公开通报。你去问那些家长，他们根本不知道自己的孩子曾经暴露在什么样的风险里。

所以当我看到“暗涌”选择全网公开漏洞时，我第一反应是拍手叫好。别跟我扯什么“负责任披露”那套流程——当厂商把用户的安全反馈当耳旁风，当漏洞修复周期以年为单位计算，公开曝光就是最有效的推动力。事实上，那个智能家居平台在被公开后的第三天就发布了紧急固件更新，速度比过去半年内任何一次常规更新都快。

当然，公开漏洞也有代价。脚本小子们会立刻利用它去攻击还没升级的用户，就像鲨鱼闻到血腥味。但你看清楚，真正的责任方不是那个公开漏洞的人，而是那个明知有洞却迟迟不补的厂商。他们省下的那点开发成本，最终会以用户的安全感为代价加倍偿还。

我写这篇文章不是劝你立刻扔掉所有智能设备——那不现实。我只想说，下次再看到“绝对安全”四个字，请自动翻译成“目前还没被公开打脸”。至于企业，你们最好记住：用户不是傻子，漏洞也不会因为你们假装看不见就自动消失。今天有人替你们公开了，明天可能就有人直接利用它。选哪条路，自己掂量。

(责任编辑：休闲)