官方正规的黑客

简介

「官方正规的黑客」并非法律或行业标准中的正式称谓，而是公众对合法开展安全测试人员的通俗说法。媒体与业内通常用白帽黑客、白帽子指称这一群体，其工作对象是计算机系统和网站中的漏洞，找到后交由厂商或相关部门修补，使其在被恶意利用之前得到处置^[1][2]。网络漏洞指信息产品软硬件、协议实现或安全策略上存在的缺陷，可使攻击者在未获授权时访问或破坏系统，因此漏洞的发现与修复直接关系到信息系统安全^[3]。

这一称谓的流行与黑客群体的分化有关。早期「黑客」一词带有中性甚至褒义色彩，指钻研计算机系统并乐于共享成果的人；后来部分人利用技术非法入侵、牟利，才使该词带上负面含义，出于区分需要，行业内部出现了白帽子的叫法。从技术角度看，黑客能力本身并无是非，区别在于是否获得授权、指向何种目的^[4]。

沿革

漏洞赏金（bug bounty）机制被普遍视为合法漏洞研究制度化的起点。1995 年 10 月 10 日，网景（Netscape）在发布浏览器测试版时推出「网景漏洞赏金」计划，对首先报告漏洞的用户给予现金或实物奖励，这一模式被视为首个现代漏洞赏金项目^[5][6]。此后十余年间该做法并未普及，直到 2010 年前后谷歌、脸谱网等企业相继建立自家项目，悬赏模式才在硅谷推广开来，并逐步扩展到微软、特斯拉、苹果等公司^[7][8]。

政府机构随后也加入这一机制。2016 年 3 月至 2017 年 1 月，美国陆军开展名为「黑进军队」的赏金计划，将征兵网站、陆军数据库等系统交由黑客在军方授意下测试，共收到 400 多份漏洞报告，派出奖金超过 10 万美元，并公开部分高危漏洞详情^[3][6]。2019 年，欧盟委员会针对 Drupal、Apache Tomcat、VLC 等开源项目发起漏洞赏金计划，共确认 195 个有效漏洞^[6]。

中国的漏洞收集体系以国家层面的共享平台为核心。2009 年 10 月 22 日，国家互联网应急中心联合国家信息技术安全研究中心发起成立国家信息安全漏洞共享平台（CNVD），联合重要信息系统单位、基础电信运营商、安全厂商、软件厂商和互联网企业共同建设国家网络安全漏洞库^[9][10]。2010 年 4 月 20 日，该平台网站正式开通，面向公众和互联网企业免费提供漏洞与补丁信息及技术服务^[11]。至 2013 年，平台已与超过 500 名白帽子建立协作关系，并协调处置 2100 余起涉及政府机构、重要信息系统、电信与教育机构的漏洞事件^[12]。

众测平台的出现进一步降低了参与门槛。国内补天、漏洞盒子等平台汇集了大量白帽子，其中补天在 2015 年前后已聚集近万名白帽子，成为当时规模较大的漏洞响应平台^[1]。国际上则形成了 HackerOne、Bugcrowd 等代为运营企业赏金项目的平台，赏金项目的规模在 2010 年代后期明显扩大^[6]。

特点

授权是判定行为性质的核心条件。合法测试以系统所有者的明确许可为前提，通常通过合同或授权书约定测试范围、时间与数据处理方式，测试方在约定边界内实施渗透测试和漏洞扫描，并向委托方提交漏洞报告与修复建议^[13]。这一边界在中国法律中有明确体现：《中华人民共和国网络安全法》第二十七条规定，任何个人和组织不得非法侵入他人网络、干扰他人网络正常功能、窃取网络数据，也不得提供专门用于此类活动的程序与工具；第六十三条对违反者规定了拘留、罚款等处罚，受到刑事处罚者终身不得从事网络安全管理和网络运营关键岗位工作^[14]。

从技术分工看，这一群体与黑帽、灰帽存在明确区别。白帽在授权范围内工作，发现漏洞后按约定渠道通报，可公开身份积累专业声誉；黑帽以窃取数据、传播勒索软件等方式非法牟利；灰帽则可能未经授权发现漏洞后通报厂商而不牟利，处于法律灰色地带^[15]。安全机构也指出，个别从业者的实际行为可能跨越类别，曾经的黑帽亦有转入白帽群体者。

在能力结构上，从业者呈明显的层次分布。业内观察将白帽子分为四层：占比九成以上的「脚本小子」只能套用他人编写的工具；第二层具备代码审计与攻防能力；第三层能自主开发工具并深入挖掘漏洞，国内仅数百人；最高一层能够提出完整安全解决方案，人数更少。由于扫描工具易于获取，入门的门槛已相当低，但高水平漏洞研究仍依赖长期积累^[1]。

收益与风险并存是这一领域的另一特征。赏金金额取决于企业规模、漏洞难度与危害程度，成熟的漏洞研究者收入可能高于普通软件开发者；部分项目要求研究者签署保密协议才能获得报酬，这一做法也受到质疑^[6]。由于漏洞发现过程与网络攻击在技术手段上相似，即便出于善意，研究者也可能触及刑法条款，各国赏金项目多以「安全港」条款承诺对遵守规则者不予追究^[6]。在中国的漏洞报送实践中，2016 年前后已有研究者因报送漏洞被采取刑事措施的情形，业内因此持续讨论授权与数据获取的界限^[16]。

参见

• 白帽黑客 —— 本词条所指群体的行业通称，强调授权前提与漏洞通报义务。

• 渗透测试 —— 在授权范围内模拟攻击以检验系统防护的常见技术手段。

• 漏洞赏金 —— 企业或机构以奖励换取漏洞报告的制度安排。

• 国家信息安全漏洞共享平台 —— 中国国家级漏洞收集、验证与发布平台。

• 中华人民共和国网络安全法 —— 界定入侵、干扰、窃取数据等行为边界的法律依据。

• 灰帽黑客 —— 未经授权发现并通报漏洞、处于法律灰色地带的群体。