十万美金悬赏退场：英特尔关停漏洞赏金，只留一条不收钱的上报通道

运行多年的漏洞赏金计划，被英特尔按下了暂停键。这项计划 2017 年起步，从 2018 年开始向全球范围内符合条件的安全研究者敞开，过去对有效报告漏洞的人给出最高十万美金现金奖励。

目前，该项目在漏洞披露平台上的页面已经标注为已暂停。平台方面确认，英特尔启用了一套新的责任披露机制：仍然接收漏洞信息，但不再设置任何金钱激励，也不再发放奖金。研究人员提交报告的通道没有被关闭，只是从此没有报酬。英特尔尚未就这次调整发布正式说明。

从历史数据看，这套机制此前并不闲。计划实施以来，英特尔与全球超过 250 名安全研究人员建立了合作；仅在 2020 年，公司修复的 231 个漏洞中就有 105 个来自外部研究者提交。

转向并非英特尔一家的选择。进入 2026 年，多个知名项目先后收缩了赏金安排：1 月 cURL 宣布停止相关计划，3 月，HackerOne 这一漏洞披露平台停止接收新的报告，4 月 Node.js 也终止了激励安排。

业内普遍把原因指向报告质量。人工智能工具被广泛用于自动化挖掘漏洞之后，提交数量明显抬升，但低质量、重复、难以复现的报告占比很高，漏洞响应与修复团队要花大量时间做筛选和复现。在这样的背景下，取消奖金、保留上报通道，被看作一种降低无效负担的折中办法。至于这是临时措施还是长期政策，目前还看不出来。

漏洞赏金机制的收缩，某种程度上也是安全行业分工变化的结果。奖金驱动模式的优势在于能吸引广泛的外部研究者，代价是需要持续投入人力做筛选、复现与沟通。当自动化工具让报告数量成倍增长，单份报告的平均价值随之下降，转向责任披露、把资源集中到高危问题的处置上，成为部分企业的选择。这种变化也会影响研究者的行为：没有奖金之后，愿意投入时间做深度挖掘的人可能减少，依赖赏金收入的安全从业者则需要寻找新的方向。长期效果如何，取决于企业能否在信息获取与成本控制之间找到新的平衡点。

文章与图片内容转载网络，如有侵权请联系平台删除