灰帽黑客

定义

灰帽黑客(grey hat 或 gray hat)指行为方式介于白帽黑客与黑帽黑客之间的黑客或计算机安全从业者。按通行的区分方式，白帽一方通常先取得许可再动手测试，问题修好之前对外守口如瓶；黑帽一方可能违法利用漏洞，并把具体的操作方法散播出去；而灰帽黑客既不走违法的利用路径，也不会把利用手法教给别人^[1]。也有机构把灰帽黑客界定为走在合乎道德与违法之间的研究者、企业或爱好者，他们可能在未获系统所有者同意的情况下找出缺陷，却选择把信息交给所有者，而不是自行利用或在黑市出售。

在中文语境里，黑客常按帽子颜色分为白帽、黑帽与灰帽三类，灰帽夹在两者之间，既懂技术防御的原理，也具备突破这些防御的能力，一般情况下不会发动带有恶意的攻击^[2]。有网络安全企业用生活场景作比：进屋偷东西的是黑帽，进屋转一圈后提醒主人门没关的是灰帽，提醒之后获得同意才帮忙关门的是白帽^[2]。另一种说法强调，灰帽黑客并不以维护网络安全为己任，也不以危害他人为目的，其看重的是技术超越带来的成就感^[3]。

原理

灰帽黑客的典型路径是先以未经授权的方式接触目标系统，主动扫描并找出其中的安全缺陷，而不是像白帽那样先取得书面许可或签订合同。发现漏洞之后，他们通常面临几种选择：通知厂商并在缺陷修补完成前保持沉默，直接向媒体或公众披露细节，或者向厂商索取一笔费用作为报告漏洞的回报。

不同的人出发点并不一致。有人希望借公开施压促使厂商尽快修补，有人看重同行的认可与名气，也有人盯住漏洞尚未被修补的时间差，把它卖给买家换取收入。一位以 The Grugq 为网名的研究者表示，向大型软件厂商报告缺陷往往只得到象征性的褒奖，因此他选择不予告知。漏洞在修补之前可以交易，个别漏洞的成交价可达数万美元。

flowchart TD

A[未获授权探测目标系统] --> B[发现安全漏洞]

B --> C{如何处置}

C -->|通知厂商并等待修补| D[接近白帽]

C -->|向媒体或公众披露| E[典型灰帽行为]

C -->|索取报酬或卖入漏洞市场| F[争议较大的处置方式]

发展历程

“灰帽”一词出现于 20 世纪 90 年代末，是从白帽与黑帽的概念衍生出来的说法^[1]。美国的黑客团体 L0pht Heavy Industries 常被视为较早以此自我定位的群体。该团体 1992 年在波士顿一带形成，1997 年发布用于检测弱口令的 L0phtCrack，1998 年其成员受邀到美国参议院就计算机安全状况作证^[4][5]。1999 年起，该团体开始以灰帽黑客自居；2000 年它被安全咨询公司 @stake 吸纳，后者在对外宣传中强调其灰帽技术背景^[4]。

2001 年，“灰帽”首次出现在信息安全类文献中，当时用来指支持把漏洞直接报告给软件提供方的黑客，这与白帽社群流行的完全披露做法、以及黑帽“不应让任何人知晓漏洞”的立场都有区别^[6]。2002 年，反安全社群又用这个词指白天在安全行业工作、夜间从事黑帽活动的人^[6]。2004 年，哈里斯等人出版关于灰帽方法的著作，把灰帽放在中间位置，即在侵入系统后以告知厂商来换取收入^[6]。2006 年，该词被用于描述在网上搜寻漏洞、再向服务器所有者收取费用以修复问题的独立黑客；2008 年，电子前哨基金会把灰帽界定为在安全研究中可能无意或存在争议地触犯法律的人^[6]。

2010 年 6 月，一个名为 Goatse Security 的团体发现美国电话电报公司(AT&T)网站上的缺陷，可批量导出 iPad 3G 用户的电子邮箱地址，涉及约 11.4 万个账户；该团体没有直接与 AT&T 沟通，而是把情况提供给媒体，美国联邦调查局随后介入调查^[7][8]。其成员 Andrew Auernheimer 后被法院判定犯有身份欺诈与合谋违反《计算机欺诈与滥用法》罪，另一名成员 Daniel Spitler 于 2011 年认罪^[8][9]。同年，媒体报道指出随着漏洞价值上升，更多灰帽黑客受到吸引去获取系统访问权限，漏洞交易市场持续扩大。

应用

灰帽黑客的活动集中在漏洞的发现、收集与处置环节。他们使用的扫描与测试手段与白帽相近，但往往缺少授权这一前提。在获取漏洞之后，处置方式包括自行利用、上报厂商、公开披露，以及进入俗称漏洞市场的渠道出售。

一些企业尝试把灰帽黑客引入白帽阵营，通过聘用或合作，让其技术能力服务于产品和系统的安全改进。2000 年安全咨询公司 @stake 吸纳 L0pht 的成员，此后不少软件企业开始雇佣有黑客背景的人从事安全工作^[4]。为减少漏洞流向黑市，厂商和平台后来普遍设置漏洞赏金，用奖金换取研究者按约定范围报告问题，从而把原本处于灰色地带的行为纳入可管理的轨道^[10]。

在中国，研究者对外披露漏洞的渠道包括直接向厂商报告、向国家漏洞库提交、经由行业安全响应中心反馈，以及在学术会议或代码托管平台公开^[11]。

局限

灰帽行为最主要的争议在于往往缺少授权。在多数司法辖区，未经许可访问他人计算机系统本身就可能构成违法，动机是否善意并不当然成为免责理由^[8]。2010 年 AT&T 事件中，被告一方认为自己的披露程序相当规范，法院仍作出有罪判决，一些研究者认为这为安全研究树立了不利的先例^[8]。围绕美国计算机欺诈与滥用法的争论还集中在“未经授权访问”缺乏明确定义：向公开可访问的网页发送请求是否构成越权，法律文本并未给出答案^[9]。

在中国，2026 年 1 月 31 日公开征求意见的《网络犯罪防治法（征求意见稿）》中，第 24 条与第 25 条涉及漏洞的发现、收集和发布，以及重要信息系统相关信息的传播。业内讨论认为，条文需要进一步说明“违反国家有关规定”指向哪些规则，并区分向厂商或漏洞平台报告、修补后脱敏公开，以及公开完整利用链或批量出售等性质不同的行为，否则善意研究可能面临较高的合规不确定性^[11]。

灰帽与白帽、黑帽之间并无稳定边界，同一人可能在不同场合处于不同位置：有正规安全岗位的白帽黑客会在业余从事灰帽活动，也有前黑帽黑客后来成为白帽社群中的知名专家。对同一批人的归类在媒体与法律上也常出现分歧，例如同一团体既被形容为追求戏谑效果的恶作剧者，也被形容为灰帽黑客^[9]。此外，灰帽黑客对漏洞的公开处理可能使厂商陷入被动，既有资产损失的风险，也可能因安全事件曝光而损害声誉。

因此，监管机构与企业更倾向于引导外部研究者走漏洞赏金、授权测试与负责任披露等路径，让测试在事先约定的范围内进行^[10]。

参见

• 白帽黑客 —— 获得授权后按规则测试并披露漏洞的一类黑客，是灰帽黑客的对照对象。

• 黑帽黑客 —— 未经授权入侵系统并借此牟利或破坏的一类黑客。

• 漏洞赏金 —— 厂商以奖金换取研究者报告漏洞的机制，常被视为把灰帽行为导入合法轨道的途径。

• 渗透测试 —— 在授权范围内模拟攻击以检验系统安全的做法。

• 计算机欺诈与滥用法 —— 美国规制未经授权访问计算机的主要法律，灰帽行为是否构成犯罪常与该法相关。

• 负责任披露 —— 发现漏洞后通知厂商并等待修补的披露方式，与灰帽黑客自行公开的做法形成对比。