一句話定位賞金不是獎勵是贖金——廠商買的不是漏洞是漏洞持有人本來可以造成的災害。先講清楚一個前提黑客的能力永遠以破壞能力為尺度。無論破壞是否已經(jīng)發(fā)生。發(fā)現(xiàn)一個能癱瘓全國電網(wǎng)的漏洞和實際上有沒有去癱瘓它是兩個問題。能力的上限由前者定義跟后者無關。賞金體系試圖繞開的正是這個能力的兌現(xiàn)——但它無法否認這個尺度本身。一個漏洞值多少錢大部分賞金平臺按 CVSS 評分、按利用難度、按影響范圍來定價。但這個模型忽略了一個最基本的問題——漏洞的價值從來不在于「它是個什么質量的漏洞」而在于它如果被用了會發(fā)生什么。一個不需要交互的內核級 RCE影響全線產(chǎn)品橫向移動能覆蓋整個企業(yè)內網(wǎng)還能作為 APT 攻擊的跳板——它的價值不在 CVSS 分數(shù)而在它理論上能造成的災害總和。災害 技術殺傷力×社會放大倍數(shù)。技術殺傷力看的是影響范圍、利用深度、供應鏈污染潛力社會放大看的是一旦出事監(jiān)管罰款、股價暴跌、公關地震、地緣政治利用。同一個 RCE打在普通公司身上和打在基礎設施身上災害系數(shù)可以差三個數(shù)量級。但 CVSS 不管這個——它只打分漏洞本身不打分漏洞被誰拿在手里。這就引出了賞金的真正功能。如果漏洞的價值在于它潛在的災害能力那么賞金就是另一回事它不是獎勵是贖金。發(fā)現(xiàn)者擁有一個能造成X元損失的漏洞廠商花Y元買下來。當 Y X這筆交易對廠商是凈賺的。更重要的是它的轉移效應發(fā)現(xiàn)者拿到 Y 元選擇了沉默和協(xié)作廠商避免了 X 元的潛在損失原本可能流向黑市或 APT 的武器級漏洞變成了一個 CVE 編號這不是道德問題是經(jīng)濟維度的一次套利。高賞金取代了攻擊性——把一個人從「潛在攻擊者」變成「安全貢獻者」不需要改造他的價值觀只需要在價格上超過他的攻擊動機。這個邏輯在全球范圍內的執(zhí)行情況差異很大。國外頭部廠商的賞金定價本質上就是按災害預期報價他們考慮影響面、利用鏈、黑市行情、APT 對這個漏洞的興趣度最后報一個數(shù)字——這個數(shù)字不是為了買一個 bug 的修復而是為了買那個人不出手的承諾。國內的情況則不同。國內主流廠商的定價邏輯大多還停留在漏洞本身的指標上技術難度、報告完整度、CVSS 分值。這不是一個善惡問題也不是預算問題——這是一個定價模型維度的問題國外頭部廠商國內主流廠商定價模型威脅視角按災害預估值質量視角按漏洞復雜度核心問題這個人不出手值多少這個 bug 值多少定價上限數(shù)十萬至百萬美元級數(shù)千至數(shù)萬元人民幣級差距不是線性的是維度的差距。一個是高維度的價值轉移——買的不僅僅是信息更是人的行為一個是低維度的漏洞采購——按指標打分按件計費不考慮漏洞流出去之后的天量乘數(shù)。同一個漏洞在中外平臺的定價可以差兩個數(shù)量級。不是因為國內廠商更窮或更不重視安全而是因為災害模型還沒有被納入定價公式——他們還在按漏洞的質量定價而不是按災害的預期定價。而一旦你承認「災害才是價值的錨」就必然面對一個更棘手的問題。定價權在誰手里當你發(fā)現(xiàn)一個漏洞它的「價值」由誰來定在現(xiàn)行體系下定價權幾乎完全外置定價權廠商決定這個漏洞值多少錢你不同意就沒有收益評價權廠商決定評級高低你說多少分不算數(shù)披露權廠商決定你什么時候可以公開在此之前你只能沉默三權都在買方手里。一個發(fā)現(xiàn)者如果持續(xù)接受這個定價慣例他就從自由交易者變成了定價體系的接受者。他不是在賣一個東西而是在「被納入一個流程」——提交、等待、接受或拒絕、拿錢或不拿。一個人的定價權不再屬于自己——那他還是自由交易者嗎而回到最開始那句話黑客的能力以破壞能力為尺度。當這個尺度被一個外部體系接管能力本身就不再由自己定義了。所有這些線索指向同一個問題如果災害才是價值的真正尺度那現(xiàn)在的賞金體系到底在買什么如果它在買「安全」它應該按修復成本定價。如果它在買「沉默」它應該按災害預期定價。如果它在買「人」它應該讓定價權回到發(fā)現(xiàn)者手中。三條路指向三種完全不同的體系。現(xiàn)在的賞金行業(yè)是一個三者的混合但沒有人明確說出來。而對于那個發(fā)現(xiàn)漏洞的人——你知道你手里的漏洞值什么價嗎// 災害是價值的錨不是恐懼的來源。