狗血！网传某无人机大厂竟在正规黑客赛事期间举报现场抓人？

我们不会写网络安全技术文章，我们也写不来，所以本文依然是一篇人文文章，第一次看到竟然有厂商采取如此下三滥的手段去“捂嘴”，把找到漏洞的人抓掉，漏洞就不存在了？把提出问题的人解决掉，问题就能解决了？

2026年10月24日下午，GEEKCON安全极客大赛的现场。

这是全球最顶尖的黑客赛事之一，台下坐的是全中国最会找系统漏洞的一批人。赛程进行到无人机攻防环节，有人突然进了场，把台上的参赛选手和裁判带走，原定议程当场中断。

组委会主席王琦，网名“大牛蛙”，在台上没忍住，当着全场爆了粗口：“赛事可以随时被关停，我希望这人站出来。我做了这么多年，我没见过你这么傻X的人。这些人发现漏洞是为谁？”

让他破防的，是举报的理由：一家被现场攻破的无人机厂商，向警方报案，说这场比赛在“教唆别人破解无人机”。

这件事最荒诞的地方在于——从比赛开始到选手被带走，没有任何人公开过这家厂商的名字，没有公开过漏洞的任何细节，甚至连台上那台无人机的品牌标识，都被刻意隐去了。

白帽们把能给的体面都给足了，换来的是一副手铐。

网络安全专家、前360集团技术总裁谭晓生当天在朋友圈写下一句话，这句话后来被反复转发：“不解决问题本身，把发现问题的人解决成了不少企业的‘最佳实践’，真是悲哀。”

很多人在这条新闻下面愤怒，不只是为几个被带走的选手，更是因为他们认出了一个熟悉的剧本——这个剧本，在十年前就已经上演过一次，那一次，一个叫袁炜的年轻人，人生被彻底改写。

一场不点名、不亮细节的比赛，到底动了谁的蛋糕

要看懂这场举报有多反常，得先知道GEEKCON是个什么级别的场子。

它的前身是2014年创办的GeekPwn（极棒），2023年升级为GEEKCON，由独立安全研究机构DARKNAVY（深蓝）主办，每年10月24日开赛，累计参与的安全研究人员超过三万人，是全球公认的顶级安全赛事之一。

它的赞助商名单，几乎是中国科技公司的半壁江山：华为是GEEKCON之夜的特别赞助伙伴，腾讯安全、字节跳动、美团、蚂蚁集团、荣耀、vivo、小米、OPPO、京东、百度安全，都在合作伙伴之列。

换句话说，这不是什么地下黑客的地下聚会，而是一个被主流科技行业公开支持、办了十几年的正规技术大会。它过去在北京、上海、澳门、新加坡，乃至美国拉斯维加斯都办过，苹果的iPhone、特斯拉的汽车、谷歌的安卓，都曾在这个舞台上被选手当场攻破。

这次引发举报的赛题，叫“失控的无人机”。

规则其实很清楚：主办方提供一台某知名品牌的主流消费级无人机，开赛前，裁判用GPS欺骗手段，把舞台所在的位置实时设定成“禁飞区”，无人机因此进入系统级锁死状态，用官方遥控器也解不开、飞不起来。

选手要做两件事：第一，在不接触飞机的前提下，用一个此前未知的漏洞发起近场攻击，把无人机的完整控制权夺过来，机臂上的灯由黄转绿，就算成功；第二，突破禁飞区的限制，在禁飞区里强行把飞机解锁起飞，依次完成起飞、下降、降落。全程十分钟，最多挑战三次。

请注意，这里被攻破的漏洞，是选手自己花时间、花精力逆向出来的“未知漏洞”，不是厂商已知的问题，更不是从哪里买来的现成攻击工具。

更关键的是GEEKCON白纸黑字的规则第三条，原文是：“我们遵循负责任漏洞披露原则，会将‘漏洞与利用DAF挑战赛’中获胜选手提交的详细技术信息提供给相关厂商或机构。我们和获胜选手承诺在相关问题修复之前，不对外泄露任何相关信息。”

这段话翻译成大白话：选手在台上证明“你家飞机有个洞，能被人这样接管”，但具体怎么做到的，一个字都不会对外说；这套完整的技术细节，赛后会私下交给厂商，好让厂商回去补洞。在厂商把洞补上之前，所有人都替它保密。

这是一个对厂商近乎“溺爱”的规则。厂商不用暴露名字，不用担心漏洞被坏人学去，还能免费拿到一份顶级团队做出来的安全体检报告。

按过去十几年的惯例，被攻破的厂商不但不会生气，反而会在赛后主动联系选手，确认漏洞、推送补丁、发感谢信，有的还会发奖金。在DEF CON、Pwn2Own这些国际同类赛事上，苹果、微软、特斯拉这样的公司，常年派安全团队守在现场，等着接选手提交的漏洞报告。

GEEKCON办了这么多年，从来没有一家厂商，因为一场漏洞演示而举报。

所以当警察进场、选手被带走、议程中断的那一刻，整个安全圈的错愕是真实的。一名从业者的话很有代表性：“我们在封闭赛场里用十分钟攻破一台无人机，和黑产在机场附近用改装设备干扰航班，区别不在技术，而在终点——我们的终点是厂商的修复报告，黑产的终点是用户的人身和财产损失。”

很多群内都在讨论：

需要说明的是，举报者到底是谁，目前并没有官方结论。社交媒体上，很多人把它和某头部无人机大厂联系在一起，某科技博主转发时直接写了一句“某厂的作风一直如此”，多家媒体也用“市场占有率特高的无人机厂商”来暗示。但截至成稿，这家官方没有就此事发布任何声明，GEEKCON主办方也没有正式点名，“是谁报的警”这一层，仍然停留在行业传闻和媒体推断阶段，不能武断的判断就是该大厂。

这个细节必须讲清楚，因为比起“哪家厂商报的警”，更值得追问的是另一件事。一家厂商，为什么会把一个替它找问题、还替它保密的人，当成需要动用警方去解决的对象？

白帽到底是干什么的：把本该在黑市标价的东西，免费还给厂商。圈外人最容易有的一个误解是：一个人跑来攻破别人的系统，怎么还能是“好人”？

这就要分清两顶帽子。

出于破坏系统、窃取数据、勒索钱财的目的去入侵别人的，叫“黑帽”，是法律打击的对象。而“白帽”，同样掌握攻击技术，也会去触碰系统，但他们的目的不是把东西偷走、卖掉，而是找到漏洞、通知厂商，在坏人利用之前把洞补上。

这里面最核心的概念，叫“漏洞”，又叫“0day”。它本质上是软件、硬件里的一个缺陷，是程序员写代码时留下的一道缝。谁掌握了这道缝，谁就能在系统里获得本不该有的权限——小到偷看一段数据，大到接管一台设备、一套系统。

漏洞最残酷的特性是：它是客观存在的，不会因为你不知道、不承认，它就消失。你家房门上有一道没锁好的缝，你自己没发现，不等于小偷也没发现。

而一个能被实际利用的0day，极其昂贵。因为找到它，往往需要一个研究员花上几个月，一行一行地逆向、测试、验证，枯燥到普通人难以想象。某大佬曾经形容他们团队做基础研究的日子，是“吃了两年多上海葱油拌面和小杨生煎”熬过来的。

那么，白帽的“负责任披露”，披露的是什么？

是一个研究员花几个月时间逆向出一条此前未知的攻击路径，然后在不公布任何细节的前提下，把它展示出来。这近乎一种仪式感，等于在告诉厂商：这条路走得通，已经有人能摸到你了，你们赶紧回去打补丁。

用一个更直白的比喻：这相当于把一个原本能在黑市上卖出高价的东西，免费交还给了厂商。

这套机制不是中国的白帽们自己发明的，它是全球互联网行业用二十多年时间磨合出来的通行规则，并且有清晰的节奏。

谷歌的顶级安全团队Project Zero，奉行的是“90天原则”：一发现漏洞，立刻通知厂商；给厂商90天时间修复，90天一到，或者厂商提前发布补丁，技术细节就向整个防御社区公开。这么做的逻辑是，用户的安全高于厂商的面子，必须用一个明确的期限，倒逼厂商尽快把洞补上，而不是无限期拖下去。

苹果则直接用钱和荣誉给研究投票。在苹果安全赏金计划里，一个无需用户任何操作、通过网络就能直接打穿内核的高危漏洞，最高赏金是200万美元；对提交有效报告的研究员，苹果还会公开致谢。2025年10月，苹果又把最高赏金翻倍，理由写得很明白：要让那些能造出“雇佣兵级间谍软件”的顶尖研究，留在合法、阳光的这一边。

微软的MSRC悬赏计划，单个项目最高也给到25万美元。美国网络安全与基础设施安全局（CISA）在2019年更进一步，专门发布指令，要求各联邦机构建立“对安全研究人员友好”的漏洞披露策略，让白帽有明确、安全的渠道可以报告问题。

这些做法的共同点是：它们都默认一个前提——厂商自己找不完所有漏洞，必须靠外部的研究者；而要让这些人愿意、并且敢于把漏洞交给你，你就得给他们尊重、给报酬，更要给他们安全感。

中国也在往这个方向走。2016年的网络安全法就明确，网络产品和服务的提供者，一旦发现产品存在缺陷、漏洞，应当立即采取补救措施，及时告知用户并向主管部门报告。2021年7月，工信部、网信办、公安部三部门联合印发《网络产品安全漏洞管理规定》，当年9月1日施行，其中专门规范了通过网络平台、媒体、会议、竞赛等方式发布漏洞信息的行为，要求补丁发布前不得公开漏洞细节，也不得借漏洞炒作、敲诈。

这份规定的另一面，其实是承认了白帽这个群体的合法位置——漏洞的发现、收集、报告，本身是一件对社会有益、需要被规范而不是被消灭的事。

规则到今天的方向其实已经很清楚：让善意的报信者有章可循、有安全感，让漏洞在见光之前就被悄悄修好。这是一个对厂商、对用户、对研究者三方都有利的机制。

而要理解这套机制为什么如此脆弱、为什么一次举报就能让整个圈子寒心，就得回到十年前，看看那个叫袁炜的年轻人，到底经历了什么。

袁炜是注册在乌云网（WooYun）上的一名白帽。

乌云网，是当年中国最大的民间漏洞报告平台，无数安全爱好者把自己发现的网站漏洞提交到这里，由平台通知厂商，等厂商修复后再公开。在很长一段时间里，它是中国白帽生态的一面旗帜。

袁炜当时还只是一名实习白帽，担心自己技术不过关、误报漏洞。他的故事，被人民网、财新、新华社等多家媒体记录在案。

2015年12月3日下午，袁炜在对婚恋网站世纪佳缘做常规检测时，发现了一个高危漏洞。当天晚上，为了确认漏洞是真的、不是误报，他回到家，用同一台笔记本和sqlmap工具继续检测，并且顺着这个漏洞，浏览了网站的一部分数据，以验证漏洞确实存在、确实能造成危害。

12月4日上午，袁炜把这个漏洞提交给了乌云网。同一天，乌云网按照流程通知了世纪佳缘。

12月7日，世纪佳缘完成漏洞修复，并且在乌云平台确认漏洞的页面上，按照平台惯例，向提交漏洞的袁炜表示了感谢。

到这一步，这是一次再标准不过的负责任披露：白帽发现漏洞、提交平台、厂商修复、公开致谢，皆大欢喜。

但一个多月后，事情急转直下。

2016年1月18日，世纪佳缘向北京市公安局朝阳分局报案，称网站数据被非法窃取。世纪佳缘CEO吴琳光后来在知乎上解释：在修复漏洞的过程中，他们发现有900多条有效数据被攻击者获取，出于对用户数据和信息安全的担忧，选择了报警；在警方披露调查结果之前，公司并不知道“提交漏洞的白帽”和“攻击网站的人”是同一个人。

2016年3月8日，袁炜被刑事拘留。4月12日，北京朝阳区检察院以涉嫌“非法获取计算机信息系统数据罪”，正式批准逮捕。

据司法鉴定，世纪佳缘网站一共遭到11次SQL注入攻击，932条实名注册信息被窃取。

压在袁炜身上的，是一条很多白帽此前并不知道的法律红线。按照《刑法》第二百八十五条第二款及相关司法解释，侵入系统并“非法获取数据”，一般系统只要获取身份认证信息500组以上，就属于“情节严重”，可以追究刑事责任。袁炜为了验证漏洞而获取的900多条数据，恰好越过了这条线。

在白帽的工作逻辑里，这本来是个打分问题：漏洞平台会按证据的详细程度、危害的大小给漏洞打分，证据越扎实、越能说明问题，分数越高。所以白帽们习惯多取一点数据来证明危害，而且在过去的实践中，这种做法从来没有被厂商反对、被平台提醒过。大家习以为常，直到袁炜出事，很多人才第一次知道，原来还有“500条”这道坎。

2016年6月，第四届中国网络安全大会召开前夕，袁炜的父亲发表了一封公开信，标题是《白帽子检测漏洞到底是不是犯罪》。老人在信里为儿子鸣冤：袁炜不是去窃取数据，而是在帮网站测试漏洞，漏洞已经被修复，他也没有把数据拿去牟利，这样被抓，不公平。

给媒体打电话时，老人说，儿子已经被关押了好几个月，这件事对全家是晴天霹雳，他们只想知道，袁炜到底有没有真的触犯法律。

世纪佳缘方面则始终否认“钓鱼”的说法。他们回应称，自乌云通知公司存在漏洞起，公司从未拿到过漏洞提交人的联系方式，也联系不上对方；报警是出于对用户隐私和公民信息安全的考虑，并不针对任何个人。公司安全团队还提到，事发当晚他们监测到来自国内多个不同省市IP的访问，因此并没有把“报漏洞的人”和“攻击的人”联系到一起。

双方各执一词，真相的细节，最终要由司法机关认定。但袁炜案在白帽圈子里引发的，是一场不亚于地震的恐慌。原因很简单：袁炜的做法，在白帽群体中太普遍了——发现漏洞、为验证而取少量数据、提交平台、等厂商修复。如果这样一套流程都能换来逮捕，那么几乎每一个白帽，都可能成为下一个袁炜。

更让人唏嘘的是事件的后续。2016年7月19日，乌云网突然无法访问。7月20日凌晨，网站发布公告，称乌云及相关服务将进行升级，“将在最短的时间内，以最好的姿态回归”。

但它再也没有回来。

据财新等媒体报道，乌云网包括创始人方小顿（网名“剑心”）在内的多名高管被带走调查，平台被迫停摆。

几乎同一时间，另一家知名漏洞平台“漏洞盒子”也宣布暂停服务。中国最大的两家民间漏洞报告平台，在几天之内双双停摆。

一个曾经热闹的、由无数技术理想主义者撑起来的白帽生态，就这样在2016年的夏天急转直下。而袁炜本人案件的最终判决，在此后公开的报道里，再难找到清晰的下文——一个替别人指出问题的年轻人，连同他的故事，一起慢慢从公众视野里消失了。

当年补天漏洞平台的前负责人赵武说过一句话，事后看几乎是预言：这一网下去，抓了一个热心的年轻人，然后民间漏洞响应的生态，倒退了好几年。

“解决提出问题的人”，为什么是最蠢的一步棋

“不解决问题，而是解决提出问题的人”，这句话之所以扎心，是因为它点破了一种极其常见、也极其短视的应对逻辑。

这种逻辑的内核是：问题本身让我难堪、让我被动，那么让指出问题的人闭嘴，问题似乎就不存在了。

报警、删帖、施压、追责，本质上都是在“信息源”这一端动手，而不是在“问题”这一端动手。它能换来一时的安静，却制造了一个致命的幻觉——以为封住了报信者的嘴，就等于堵上了系统里的洞。

但漏洞不吃这一套。它是一段客观存在的代码缺陷，你把发现它的人抓了，那段代码还在那里；你让所有人都不敢提它，它依然在那里，静静等着下一个发现它的人。区别只在于，下一个发现它的，还是不是那个愿意提前告诉你的人。

这就是“解决报信者”最蠢的地方：它根本没有减少风险，只是把风险从“我提前知道、可以修补”，变成了“我毫不知情、任人宰割”。网友嘲讽当时举报的网传无人机厂商：

网上有一句质问，说得又冷又狠：“漏洞就在那里。你抓得了国内的技术员，你抓得了国外的黑客吗？”

这不是抬杠，这是现实。网络攻击没有国界，一个厂商能把国内合法、善意、愿意走负责任披露流程的研究者一网打尽，却管不了境外的黑客团队，更管不了藏在暗网里的买家和卖家。把善意的报信者推走，等于单方面把自己的漏洞情报，拱手让给了那些不会跟你客气的人。

那么，当一个白帽发现“说出来”不仅没有回报，反而要承担法律风险时，他会怎么做？理性的选择无非三条。

第一条，沉默。发现了也不说，多一事不如少一事。这是最温和的一种，但对厂商来说，等于主动放弃了无数双免费的眼睛。

第二条，把漏洞卖掉。既然厂商不接、不领情，而漏洞又确实值钱，那就卖给愿意出价的人。这正是很多技术大V警告的：“以后这家厂商不会再收到技术人员报告漏洞了，以后漏洞就拿到黑市上卖了。”

第三条，连卖都不亲自卖，而是流向更隐蔽的渠道，被境外团队、被黑灰产接手，然后在某个厂商和用户都毫无防备的时刻，被一次性使用。网友知道这个事情都无语死了：

很多人以为“漏洞黑市”是个夸张的说法，其实它有真实、且高得惊人的行情。

在暗网和国际漏洞经纪市场上，一个针对iOS、安卓、Windows这类主流系统的成熟0day利用链，标价动辄数百万美元。以色列的NSO Group，正是靠“飞马”（Pegasus）这类基于0day的间谍软件，把一部手机在零点击、零感知的情况下完全接管，卖给各国客户，制造了无数起监控丑闻。国际上的专业漏洞经纪商，Zerodium、Crowdfense、Operation Zero，对一条完整的移动设备利用链，开出的价码从数百万到上千万美元不等；针对苹果的0day，曾在市场上叫价到800万欧元。

对照之下，你会更清楚白帽的“负责任披露”到底意味着什么：一个本可以在黑市上换几百万、上千万的东西，研究员没有拿去卖，而是选择交给厂商，换一句感谢、一个署名，很多时候甚至什么都不要。

厂商的一次举报，等于是在公开告诉所有研究员：你拿着能换钱的东西来免费帮我，我不但不领情，还要让你付出代价。

这就引出了那句令人脊背发凉的判断：“这不是挺好的吗？基本相当于和全世界的黑客公开宣战了。”

问题是，这场战争的代价，最终并不由厂商的管理层和法务部门承担，而是由每一个普通用户承担。

想想看，一台能被远程接管的无人机，可能在你头顶突然失控、坠落；一辆能被破解的智能汽车，可能在行驶中被人熄火、操控；一个被发现却没人敢报的摄像头、门锁、路由器漏洞，可能在某一天，把你的隐私、你的财产、你的人身安全，一起暴露给陌生人。

白帽的存在，恰恰是在你和这些风险之间，多垫了一层。他们是在坏人之前，先替你把墙缝找出来、告诉房主的人。把这层人赶走，房子不会因此更安全，只会让真正的窃贼如入无人之境。

所以，从纯粹的利益计算看，“解决提出问题的人”也是一步满盘皆输的棋：它没有消灭漏洞，没有震慑真正的黑产，反而消灭了厂商最划算、最可靠的一道外部防线，最后把成本转嫁给了最无辜的用户。

真正的安全，是有人愿意在坏人之前告诉你墙裂了。

同样是面对漏洞，这个世界上其实一直存在另一种选择。

2014年的GeekPwn上，选手现场演示了如何用一条微信，远程操控一辆行驶中的特斯拉，让它突然倒车、熄火、失控；同一场比赛，70款主流安卓手机被一一攻破。没有厂商报警，没有公关删帖，这些漏洞在赛后被逐一确认、修复，变成了更安全的产品。

苹果、微软、谷歌这些站在行业顶端的公司，没有一个把白帽当敌人。因为它们算得很清楚：一个愿意提前告诉你问题的人，是成本最低的安全资产，而不是需要被处理的麻烦。

一个产品、一家公司、乃至一个社会对待“报信者”的态度，本质上是在回答同一个问题：你到底是想让问题被解决，还是只想让问题看起来不存在。

纵容报信者，会有一时的难堪，会承认自己的产品不完美，但产品会因此一点点变好，用户会因此更安全。打压报信者，能换来一时的安静和体面，却把所有的洞都留给了黑夜，等到爆发的那一天，往往已经无法挽回。

2016年的袁炜，是一个被时代记住的教训。他不是黑客，他只是一个相信“发现问题就应该说出来”的年轻人，他帮网站补上了洞，自己却走进了看守所；他身后，是乌云网的关停，是一整个白帽生态的倒退，是无数人从此学会了沉默。

十年之后，相似的一幕在重演。我们必须警惕，不能让“举报抓报信者”真的被一些企业当成所谓的“最佳实践”。因为这个“实践”每被复制一次，愿意负责任披露的人就少一批，而黑灰产手里的筹码，就多一分。有网友非常愤怒：

GEEKCON 2026当晚照常闭幕，闭幕式的主题叫“人类最后一届黑客大赛？”。这个主题原本是主办方的一句玩笑，感慨的是AI进步太快，也许有一天会取代人类黑客。但经历了这场报警，这句话突然有了另一种苦涩的读法：AI还没来得及干掉黑客，人类自己倒先把报信的人，一个一个解决了。

请记住一件再朴素不过的事：这个世界上，真正盼着你出事的人，不会提前通知你；会提前告诉你“墙裂了、该补了”的人，才是站在你这边的人。

我们再重复一句，目前还没确凿证据证明是这家企业举报的，所有只是网传，我们也是借这个事情想提醒某些人：今天你把报信者的嘴堵上，明天当坏人翻过那堵没人修补的墙时，就再也不会有人，提前替你挡那一刀了。