一、Bug Bounty核心定义
Bug Bounty（漏洞赏金），是企业、互联网平台、机构等主体，向白帽安全研究员（道德黑客）支付的现金或荣誉奖励，用于表彰其合法、合规、负责任地发现并上报系统、软件、网站中未被披露的安全漏洞。
配套的Bug Bounty Program（漏洞赏金计划，BBP） 是标准化众包安全测试体系，机构明确测试资产、漏洞判定、赏金梯度与合规规则，面向全球研究者开放漏洞挖掘权限，弥补内部测试局限，是常态化安全防御的重要手段，区别于无现金奖励的 VDP 漏洞披露计划 \ Vulnerability Disclosure Program。
二、Bug Bounty发展进程
漏洞赏金的理念雏形可追溯至近代安全挑战，而现代化、标准化的赏金计划，伴随互联网发展逐步成型，整体可分为四个核心阶段：
1. 理念萌芽期（19世纪-1994年）：安全挑战雏形
最早的赏金溯源可至1851年，锁匠Alfred Charles Hobbs受厂商重金悬赏，成功破解高端锁具，验证安全防护缺陷，形成“发现安全缺陷即可获得奖励”的原始逻辑。这一阶段无系统化网络安全概念，仅为传统安防领域的悬赏挑战，是漏洞赏金思想的源头。
2. 行业初创期（1995年-2009年）：首个正式计划诞生
1995年，网景（Netscape）针对Netscape Navigator 2.0浏览器测试，推出全球首个正式Bug Bounty Program，标志着漏洞赏金机制正式落地网络安全领域，开启企业付费招募外部研究者挖掘软件漏洞的模式。
此后十余年间，该模式处于小众探索阶段，仅谷歌、Mozilla、Facebook等少数头部科技企业自建自营赏金计划，无统一平台、无标准化规则，流程零散、受众有限，仅作为企业小众安全补充手段，未形成行业生态。
3. 生态成型期（2010年-2018年）：平台化标准化普及
专业第三方赏金平台HackerOne、Bugcrowd相继成立，彻底改变行业格局。平台统一整合企业需求、研究者资源、漏洞审核、赏金发放、合规管控全流程，解决了企业自营计划流程繁琐、审核低效、合规风险高的痛点。
这一阶段，漏洞赏金计划从小众科技企业走向全行业，互联网、金融、科技、政务机构纷纷入局，赏金梯度、测试范围、合规规则逐步标准化，参与的安全研究者数量爆发式增长，成为主流的常态化安全防御手段。
4. 成熟普及期（2019年-至今）：全民化、规模化、常态化
漏洞赏金生态全面成熟，呈现三大特征：一是覆盖场景全覆盖，从传统网站、软件，延伸至移动端、云服务、物联网、AI系统等新兴资产；二是模式多元化，衍生出公开、私有、限时专项等多种计划形态，适配不同企业需求；三是全球常态化运营，企业不再将其作为临时测试手段，而是纳入常态化安全体系，同时各国政务、公共服务机构纷纷上线官方赏金计划，漏洞赏金成为网络安全合规建设的重要组成部分。此外，行业形成明确的漏洞分级与赏金定价体系，Critical（严重）、High（高危）、Medium（中危）、Low（低危）漏洞对应梯度化奖励，体系愈发完善。
三、Bug Bounty Program的主要类型
行业主流分类依据参与权限、运营模式、测试范围、运行周期四大维度划分，各类模式适配不同企业安全需求与业务场景：
1. 按参与权限划分：公开计划、私有计划
（1）公开赏金计划（Public BBP）
面向全球所有合规注册的安全研究者开放，无准入门槛，任何人都可按照规则挖掘、上报漏洞。优势是覆盖研究者基数大、技术视角多元，能最大化挖掘各类隐蔽漏洞；缺点是上报数据量大，无效、重复漏洞较多，审核成本较高。适用于大型互联网平台、公开业务系统、成熟产品的常态化安全防护，谷歌、字节、Adobe等企业均以公开计划为核心模式。
（2）私有赏金计划（Private BBP）
采用邀请制，企业或平台仅邀请资质优秀、技术成熟、信誉良好的资深研究者参与，外部人员无法查看计划详情、参与测试。核心优势是保密性强、漏洞质量高、无效上报少，可有效保护企业核心业务、未上线产品、敏感数据系统的安全；缺点是参与人数有限，测试覆盖面相对较窄。主要适用于初创产品内测、核心涉密系统、金融支付等高敏感业务场景，多数企业会先通过私有计划打磨安全体系，再升级为公开计划。
2. 按运行周期划分：常态化持续计划、限时专项计划
（1）常态化持续计划
无固定结束时间，全年7×24小时持续开放，研究者可随时挖掘、上报漏洞。适配互联网敏捷迭代、系统持续更新的特点，可实时发现版本更新、功能迭代中产生的新增漏洞，是企业最主流的运营模式。
（2）限时专项计划（Time-bound）
短期集中式测试模式，设定固定测试周期（通常数天至数周），多配合产品新版本上线、重大业务活动、系统升级等关键节点启动。特点是测试集中度高、见效快，可在短期内快速排查批量漏洞，快速规避重大节点的安全风险，常作为常态化计划的补充手段。
3. 按运营模式划分：自营计划、托管计划
（1）企业自营计划（Self-managed）
企业自行制定规则、对接研究者、审核漏洞、发放赏金、处理合规事宜。仅适合安全团队成熟、技术与运维能力较强的大型头部企业，可完全自主掌控计划细节，但运营成本高、流程繁琐。
（2）平台托管计划（Managed）
企业依托HackerOne、Bugcrowd等第三方专业平台运营，由平台负责研究者管理、漏洞初审、合规校验、赏金结算等全流程服务，企业仅负责最终漏洞修复与结果确认。是目前中小微企业及多数机构的主流选择，大幅降低运营门槛与管理成本。
4. 按测试范围划分：窄范围、宽范围、全开放范围
（1）窄范围计划：仅限定单一或少量具体资产（如指定域名、单一APP），测试目标精准，聚焦核心业务漏洞排查。
（2）宽范围计划：支持通配符覆盖相关资产（如企业所有子域名），扩大测试覆盖面，排查关联系统隐患。
（3）全开放范围计划：覆盖企业所有对外公开资产，无明确限制，最大化挖掘全网暴露的安全风险，适合安全体系成熟、风险承受能力较强的大型企业。
四、补充：与VDP (Vulnerability Disclosure Program)的核心区别
很多人易混淆Bug Bounty Program与VDP（漏洞披露计划），核心差异为：BBP以现金赏金为核心激励，是付费众包安全测试；VDP仅提供漏洞上报通道，无现金奖励，仅做荣誉公示与漏洞修复，属于基础安全合规机制，多数企业会搭配搭建两套体系，形成分层安全防护。
