先服务后收费的牛黑客

简介

先服务后收费的牛黑客描述的不是某个固定的人物或组织，而是一套“先交付、后结算”的安全服务收费逻辑。其实质是把费用与结果绑定，服务方在项目开始时不收取预付款，只有在测出有效问题或取得实际成果之后才计价收费^[3]。

在正当的网络安全行业，这一逻辑主要见于安全众测和渗透测试的按效果付费条款。企业发布测试需求，安全专家提交经审核确认的漏洞后按漏洞等级获得奖励，若未发现有效风险则不产生费用^[1]。在网络犯罪生态中，同样的“后付费”逻辑则表现为勒索软件即服务等联盟模式：工具开发者先提供恶意程序与基础设施，待攻击成功、收到款项后再按比例分成^[2]。

沿革

按效果付费的思路在安全管理领域早有雏形。2013年10月，阿里巴巴上线安全响应中心，建立起内部的反向验证安全体系，成为众测模式的早期实践^[1]。

2017年，先知众测平台开始运营，同年先后上线下一代企业安全服务、发布企业安全响应中心，并在10月升级为先知安全服务平台。2024年，该平台推出2.0版本，从众测平台向网络安全测试服务平台演进；2024年3月30日，阿里白帽大会在杭州举办，宣布平台焕新升级^[1]。

在网络犯罪一侧，服务化模式经历了从单机恶意软件到托管服务的转变。信息窃取程序、钓鱼工具包和勒索软件不再只是攻击者自行配置运行的工具，而是被抽象成带有仪表盘、持续更新和集中基础设施的托管服务^[4]。其中勒索软件即服务的联盟分成机制，把“先使用、后分账”的做法固定下来，成为该生态的主流形态之一^[5]。

特点

第一个特点是把付费节点后移。在正当安全服务中，客户前期无需预付基础服务费，只有确认存在中高风险隐患时才按实际数量结算；未发现问题则不收费，低风险项也通常不计入计费范围^[3]。这降低了需求方的决策门槛和前期成本压力。

第二个特点是费用与可验证的成果挂钩。众测模式约定按漏洞等级评定奖励，只对经审核确认有效的漏洞付费，同一根源的同类问题按一个计算，避免拆分凑数^[3]。为控制争议，服务方通常在实施前同步漏洞分级标准和计费规则，并在实施后与客户就结果和费用达成一致再签署合同^[3]。

第三个特点是在犯罪生态中形成风险共担的分成结构。此类联盟模式中，平台运营方负责维护恶意程序功能、管理攻击基础设施，联盟成员负责选择目标并部署攻击，双方按事先约定分配收益；常见分成比例是联盟成员留大头、运营方抽取约 20% 至 30%^[5]。有的运营方还会提供 24 小时支持、捆绑方案、用户评价和论坛等，其形态与正规的软件即服务平台相似^[5]。

第四个特点是分工细化降低了参与门槛。生态中除运营方与联盟成员外，还出现专门先行入侵网络再转卖访问权限的中间角色，以及负责谈判和定价的专门人员^[6]。各环节可分离，参与者只需具备较窄的技能范围即可加入，这也使该模式在受到执法打击后仍具有较强的延续性^[6]。

参见

• 渗透测试 —— 授权下模拟攻击以发现系统弱点的安全评估活动，是按效果付费模式的正当应用场景。

• 漏洞赏金 —— 企业面向安全研究人员发布奖励计划、按提交的有效漏洞付费的机制。

• 勒索软件即服务 —— 网络犯罪中典型的服务化收费模式，常采用先攻击、后分成的收益结构。

• 恶意软件即服务 —— 将恶意软件工具打包出租并按订阅或分成收费的地下商业模式。

• 初始访问代理 —— 专门获取网络访问权限并转卖给他人的中间角色。

• 软件即服务 —— 按需付费、由服务方维护的软件交付模式，常被上述服务形态类比。