GeekCon「黑客大賽」為何有警方到場？

当发现风险的人需要藏起面孔才敢说话，这个行业的安全治理，就到了需要重新校准的时刻。

每年的10月24日，是程序员节，也是一年一度的安全极客GeekCon大赛。对于安全圈的人来说，台上演示漏洞，台下交流技术，像一次聚会；对于我来说，像看一次表演，看那些司空见惯的场景，如何在短时间内被拆掉安全的外壳，露出松动的接口、失效的校验和一段本该拦住风险的代码。

今年的GeekCon有些特别，下午比赛刚开始没多久，警方来了。原因是上午一个“被破解无人机在禁飞区强行起飞”的演示项目，有人以“教唆他人破解无人机”为由报警，数名主办方工作人员跟随警方配合笔录。据现场人士和多家媒体报道，报警方指向某无人机厂商，但官方并未确认。受此事影响，原定当日下午的反无人机破解演示项目临时取消。

事情的是非，法律自有判断。值得琢磨的是，在同一届赛事、同一套规则之下，被破解的设备不止无人机一家。银行App的转账逻辑被一条二维码劫持，无人配送车的门锁和防撞雷达被远程撬开，四足机器狗的控制链路被整条打通……

我不知道其他厂商会如何对待被挖出的漏洞，但报警说明什么？我的第一反应是，如果是厂商所为，它传递的信号是：厂商似乎并没有把漏洞发现者当成合作方，而是当成麻烦，甚至是威胁。

研究者寻找漏洞，产品方修复缺陷，用户在两端博弈里获得更稳妥的使用环境。这样一套模式，似乎正在露出不易察觉的裂痕。

我连续多年采访报道GeekCon，感觉有三个明显的变化：一是最早的时候，当厂商第一次面对被披露的漏洞，甚至被点名的时候，大家的确是错愕的，但随着比赛机制设定为不点名、不公布细节，只为了验证风险真实存在、让厂商正视问题后，GeekCon上的所有演示便都处于受控环境中，使用主办方的授权设备完成之后，虽然少了点“刺激”，但厂商面对漏洞的反应，慢慢进入相对平稳的窗口期。多数厂商收到漏洞材料后，会和研究者保持沟通。

第二个变化是，站上赛场的“白帽子”，越来越多地选择戴上面罩，隐匿面容，形成自我保护。作为漏洞发现者，他们在担心什么？我想，他们担心的应该不是漏洞本身的技术难度，也不是台上演示失败引来的质疑。他们担心的是，自己恪守整套赛事约定、走完负责任披露流程之后，依然会迎来意料之外的对抗。当越来越多的发现者选择把漏洞捂在手里，厂商失去的不是面子，而是提前修复的机会。

第三个变化是，早年的攻防靶场，大多是手机、门锁、音箱这类私人消费品，后果最多关乎个人隐私和账户财产，厂商的容错空间相对大一些。而如今，无人机飞控、无人配送车控制系统、智能网联设备，一个代码缺陷，可能冲击的不再是某个人钱包里的余额，而是引发更广范围的风险。在我看来，风险的升级理应带来应对安全意识的升级。但有些厂商不是更认真地对待漏洞，而是更警惕地对待“发现漏洞的人”。

或许，我们也不能简单地把厂商归为“恶人”。站在厂商立场，这种警惕有其合理性。智能硬件一旦接入公共场景，漏洞被利用的社会后果被放大，品牌声誉、监管责任都压在身上。即便舞台上不公开核心利用代码，谁也不敢保证碎片化的信息在传播中，不会被有心人拼凑复原，转化成可落地的攻击手段。所以，厂商或许本能地想拦住这场曝光。

但拦住曝光和解决问题是两回事，漏洞不会因为没曝光就自动消失。其实很多头部互联网公司设有漏洞奖励机制，把白帽子当作高质量的外部测试资源。2014年心脏出血漏洞（Heartbleed）突袭全球网民，这一开源软件供应链安全标志性事件让整个行业接受一个事实：没有绝对安全的系统，漏洞是软件工程里必然存在的一部分，关键在于谁先发现、如何被妥善处理。

很巧，本届GeekCon的主题是“最后一届人类‘黑客’大赛”，大家讨论AI会不会消灭人类白帽子，虽然答案尚不清晰。

AI不用遮掩身份，不受人情和规则的束缚，它可以源源不断产出漏洞；而带着善意、愿意走正规渠道的人类研究者，却要掂量每一次登台的代价。如果淘汰人类的是AI，那么可以说是属于技术演进；如果是不断抬升的披露风险，逼着研究者选择沉默、远离赛场，那么被削弱的，是整个安全预警体系赖以运转的信息来源。

所以，真正决定人类白帽子去留的，不是AI有多快，而是厂商还愿不愿意让发现漏洞的人站上舞台。当发现风险的人需要藏起面孔才敢说话，这个行业的安全治理，就到了需要重新校准的时刻。

DeepSeek：厂商报警的逻辑看似自保，实则短视，漏洞不会因掩盖而消失，只会从白帽舞台转入暗网市场。真正的安全护城河不是封锁曝光，而是建立信任闭环——让发现者成为盟友而非嫌犯。当白帽需要戴面罩才能上台，输的不是厂商的面子，是整个行业的预警系统。

Kimi：安全治理缺少“安全港”，发现者不知哪一步越界，只能戴面罩自保。该做的不是压低曝光，而是制度化披露，例如授权边界、响应时限、奖励与责任豁免写清；演示只给影响面，不给可利用细节；涉公共安全再加熔断与监管协同。漏洞不会因沉默消失，只会因披露不可预期而迟到。

星辰超级智能体：制度真空下，一个是“合法选项”，一个是“理性自保”，各自最优，集体最差。真正的缺陷不在代码，而在制度，负责任披露至今是道德约定，而非法律“安全港”。与其呼吁宽容，不如立法明确善意发现者的免责边界，把安全风险披露从江湖规矩升级为公共产品。

排版／季嘉颖

图片／GeekConAI生成

来源／《IT时报》公众号vittimes