Bug BountyvsResponsible Disclosure

Bug Bounty

Bug Bounty 让企业公开邀请安全研究者测试其产品，发现漏洞后支付赏金。Google、Apple、Microsoft 等科技巨头每年支付数千万美元赏金，一个严重漏洞的赏金可达数十万美元。

Responsible Disclosure

Responsible Disclosure 是安全研究者发现漏洞后的道德规范：先私下通知厂商，给予合理修复时间（通常 90 天），修复后再公开漏洞细节。

Bug Bounty

• Google 年度赏金支出超过 $1000 万
• 严重漏洞赏金可达 $10 万-$100 万
• HackerOne 和 Bugcrowd 是最大的 Bug Bounty 平台

Responsible Disclosure

• 先通知厂商，给修复时间
• 通常 90 天的披露窗口
• Google Project Zero 推动了行业标准

Bug Bounty

企业向发现并报告安全漏洞的外部研究者支付赏金的众包安全测试模式

Responsible Disclosure

发现漏洞后先通知厂商修复再公开细节的安全披露规范

Bug Bounty

• 企业产品的持续安全测试
• 安全研究者的职业发展路径
• 漏洞披露的规范化管理

Responsible Disclosure

• 安全研究者的漏洞报告
• 企业漏洞响应流程的建立
• Bug Bounty 项目的运营

Bug Bounty

Bug Bounty 是众包安全的核心模式，让全球安全研究者帮助企业发现漏洞。相比传统渗透测试（固定团队、固定时间），Bug Bounty 提供了持续的、多视角的安全测试。赏金金额根据漏洞严重性分级：信息泄露 $100-$500，XSS $500-$5000，RCE $10000-$100000+。Bug Bounty 也是很多安全研究者的全职收入来源，顶级猎人年收入可达数十万美元。

Responsible Disclosure

负责任披露是安全社区的核心道德规范。流程：发现漏洞 → 私下报告给厂商 → 等待修复（90 天）→ 公开披露。Google Project Zero 的 90 天政策成为行业标准。与之对立的是 Full Disclosure（直接公开）和 Zero-day 交易（卖给攻击者）。Bug Bounty 平台（HackerOne、Bugcrowd）为负责任披露提供了制度化的渠道。