警方介入黑客大赛引关注

当发现风险的人需要藏起面孔才敢说话，这个行业的安全治理，就到了需要重新校准的时刻。 每年的10月24日，是程序员节，也是一年一度的安全极客GeekCon大赛。 对于安全圈的人来说，台上演示漏洞，台下交流技术，像一次聚会； 对于我来说，像看一次表演，看那些司空见惯的场景，如何在短时间内被拆掉安全的外壳，露出松动的接口、失效的校验和一段本该拦住风险的代码。 今年的GeekCon有些特别，下午比赛刚开始没多久，警方来了。

原因是上午一个“被破解无人机在禁飞区强行起飞”的演示项目，有人以“教唆他人破解无人机”为由报警，数名主办方工作人员跟随警方配合笔录。 据现场人士和多家媒体报道，报警方指向某无人机厂商，但官方并未确认。 受此事影响，原定当日下午的反无人机破解演示项目临时取消。 事情的是非，法律自有判断。 值得琢磨的是，在同一届赛事、同一套规则之下，被破解的设备不止无人机一家。 银行App的转账逻辑被一条二维码劫持，无人配送车的门锁和防撞雷达被远程撬开，四足机器狗的控制链路被整条打通… …

我不知道其他厂商会如何对待被挖出的漏洞，但报警说明什么？ 我的第一反应是，如果是厂商所为，它传递的信号是：厂商似乎并没有把漏洞发现者当成合作方，而是当成麻烦，甚至是威胁。 研究者寻找漏洞，产品方修复缺陷，用户在两端博弈里获得更稳妥的使用环境。 这样一套模式，似乎正在露出不易察觉的裂痕。

我连续多年采访报道GeekCon，感觉有三个明显的变化：一是最早的时候，当厂商第一次面对被披露的漏洞，甚至被点名的时候，大家的确是错愕的，但随着比赛机制设定为不点名、不公布细节，只为了验证风险真实存在、让厂商正视问题后，GeekCon上的所有演示便都处于受控环境中，使用主办方的授权设备完成之后，虽然少了点“刺激”，但厂商面对漏洞的反应，慢慢进入相对平稳的窗口期。 多数厂商收到漏洞材料后，会和研究者保持沟通。 第二个变化是，站上赛场的“白帽子”，越来越多地选择戴上面罩，隐匿面容，形成自我保护。

作为漏洞发现者，他们在担心什么？ 我想，他们担心的应该不是漏洞本身的技术难度，也不是台上演示失败引来的质疑。 他们担心的是，自己恪守整套赛事约定、走完负责任披露流程之后，依然会迎来意料之外的对抗。 当越来越多的发现者选择把漏洞捂在手里，厂商失去的不是面子，而是提前修复的机会。 第三个变化是，早年的攻防靶场，大多是手机、门锁、音箱这类私人消费品，后果最多关乎个人隐私和账户财产，厂商的容错空间相对大一些。

而如今，无人机飞控、无人配送车控制系统、智能网联设备，一个代码缺陷，可能冲击的不再是某个人钱包里的余额，而是引发更广范围的风险。 在我看来，风险的升级理应带来应对安全意识的升级。 但有些厂商不是更认真地对待漏洞，而是更警惕地对待“发现漏洞的人”。 或许，我们也不能简单地把厂商归为“恶人”。 站在厂商立场，这种警惕有其合理性。 智能硬件一旦接入公共场景，漏洞被利用的社会后果被放大，品牌声誉、监管责任都压在身上。

即便舞台上不公开核心利用代码，谁也不敢保证碎片化的信息在传播中，不会被有心人拼凑复原，转化成可落地的攻击手段。 所以，厂商或许本能地想拦住这场曝光。 但拦住曝光和解决问题是两回事，漏洞不会因为没曝光就自动消失。 其实很多头部互联网公司设有漏洞奖励机制，把白帽子当作高质量的外部测试资源。 2014年心脏出血漏洞（Heartbleed）突袭全球网民，这一开源软件供应链安全标志性事件让整个行业接受一个事实：没有绝对安全的系统，漏洞是软件工程里必然存在的一部分，关键在于谁先发现、如何被妥善处理。

很巧，本届GeekCon的主题是“最后一届人类‘黑客’大赛”，大家讨论AI会不会消灭人类白帽子，虽然答案尚不清晰。 AI不用遮掩身份，不受人情和规则的束缚，它可以源源不断产出漏洞； 而带着善意、愿意走正规渠道的人类研究者，却要掂量每一次登台的代价。 如果淘汰人类的是AI，那么可以说是属于技术演进； 如果是不断抬升的披露风险，逼着研究者选择沉默、远离赛场，那么被削弱的，是整个安全预警体系赖以运转的信息来源。 所以，真正决定人类白帽子去留的，不是AI有多快，而是厂商还愿不愿意让发现漏洞的人站上舞台。

当发现风险的人需要藏起面孔才敢说话，这个行业的安全治理，就到了需要重新校准的时刻。