补天

定义

补天是一个面向互联网的第三方漏洞响应平台，由奇安信集团运营，其定位是为企业与其外部的安全研究者建立对接渠道^[1]。与厂商自建的安全应急响应中心不同，补天并不隶属于单一企业，而是同时汇集大量厂商资产和大量独立研究者，在其中承担撮合、审核与流程管理的职能^[4]。平台自身将其表述为中立、公益、负责的第三方漏洞响应平台，白帽子在平台上的发现与提交须遵守相关法律法规及平台规范^[5]。在中文漏洞响应领域，补天是国内起步较早、规模较大的平台之一^[2]。

原理

补天的运作基于安全众包机制：企业把需要检测的互联网资产范围与奖励标准交给平台，平台再将测试任务开放给经认证的研究者，由后者以模拟攻击者的方式寻找缺陷，形成一种分布式的漏洞发现能力^[3]。平台声称其原则是竞争优先与风险最小化，即多个研究者可同时针对同一目标提交，先提交有效结果者优先，从而压缩漏洞暴露时间^[6]。

在流程上，补天把漏洞处理拆成若干环节：企业注册并发布计划，白帽子提交报告，平台审核专家做初审，企业进行复审确认，随后修复并进入持续检测^[6]。审核环节负责判断漏洞的真实性与危害等级，企业可通过邮件、短信等渠道获得预警，并借助接口把漏洞数据同步进内部的工单系统处置^[3]。

补天把项目分成不同类型。公益 SRC 面向注册验证的企业，平台不限定其收集范围，由白帽子自发提交，平台审核后通知企业认领；专属 SRC 则由企业在平台开设独立门户，自行界定测试资产、评级规则和奖金标准，相当于托管式的安全应急响应中心^[6][3]。除 SRC 外，平台还提供众测等模式，为特定项目组织集中测试^[4]。

平台对测试行为设有明确边界，要求仅在厂商授权范围内进行探测，验证时只能证明漏洞存在，不得留存用户数据、不得驻留后门程序、不得实施拒绝服务或大流量扫描，也不得横向渗透内网^[5]。这类规范构成平台机制得以运转的前提，也是研究者获得身份与法律层面支持的基础^[5]。

发展历程

补天的前身是 2013 年 3 月推出的库带计划，该计划以现金奖励的方式征集开源建站系统等通用软件的漏洞，并把漏洞信息同步给厂商、开发者与国家漏洞库^[7][8]。2014 年，库带计划升级为补天漏洞响应平台，业务范围从通用软件扩展到各类网站与企业系统^[2]。

2015 年，平台开始举办法律课堂、线下沙龙等面向白帽子的交流活动；2016 年补天众测服务上线，为企业提供除漏洞收集之外的增值服务^[2]。2018 年前后，平台已连续多年主办补天白帽大会，该会议定位为面向民间安全群体的漏洞响应与防护技术会议^[2]。2019 年平台首次举办补天杯破解大赛，赛题涉及智能交通、智能家居等物联网设备^[4]。

2021 年，平台发布实战化白帽子能力图谱，把白帽能力划分为基础、进阶与高阶三个层次^[9]。2023 年 3 月，平台举办十周年活动，披露累计报送漏洞超过 100 万枚，累计发放奖金过亿元^[9]。2024 年 10 月，补天白帽黑客大会在上海举行，会上公布平台已吸纳 13.8 万名白帽子，累计提交漏洞 195.3 万个^[1]。

2025 年 12 月，补天白帽黑客盛典在广州举行，同期发布《2025 中国白帽人才能力与发展状况研究报告》等文件；主办方在活动上表示平台已汇聚超过 16 万名白帽、累计报告 280 多万个漏洞^[10][11]。全国政协委员齐向东在会上提出，补天平台最早可追溯至 2013 年^[10]。

应用

在企业侧，补天的用途是补充自建安全团队覆盖不到的场景：企业借助平台在应用上线前做外部安全验证，在重要活动保障前集中排查隐患，或在业务频繁变更时获得持续的检测与响应^[12]。平台也提供托管式 SRC 服务，把门户搭建、计划发布、奖金发放和漏洞流转一并交由平台运营，以降低企业自建的成本^[3]。

在漏洞治理链条上，补天的数据还被用于对外报送与协同处置。奇安信历年财报披露，补天平台的漏洞数据同步至公安部、网信办、工信部和国家漏洞库^[13]。平台连续多年获评国家信息安全漏洞共享平台的协作特别贡献单位，并有多家厂商将其官方安全应急响应中心托管在该平台上^[14]。

在研究者一侧，补天承担了人才培养与社区连接的功能。平台开设校园行、技术沙龙、白帽大会等活动，并联合高校开展实战型人才培养项目^[15]。平台还为白帽子提供能力模型与成长路径，把参与者的技术方向与企业的测试需求相匹配^[6]。

局限

补天的工作方式以人工测试为主，其覆盖面依赖白帽子的数量与意愿，难以对企业的全部资产做系统化、无遗漏的检查^[3]。平台自身的表述也把白帽能力模型、项目与专家的匹配作为手段，说明检测效果与具体参与者的技能高度相关^[6]。

平台的收录是有选择的。公开资料显示，补天主要接收单个站点出现的事件型漏洞与第三方程序中的通用型漏洞两类，普通且无敏感权限的弱口令、已被修复的旧漏洞等会被驳回；IP 类漏洞与部分特定行业目标另有单独的收录边界。

众包模式本身带有合规风险，因此平台的运行高度依赖规则约束：测试必须在授权范围内进行，超出范围即失去平台的中介保护，验证过程也受到最小影响的限制^[5]。这意味着平台并不承担对企业系统的直接防护责任，修复与否、修复速度仍取决于企业自身的响应能力^[6]。此外，专家审核环节可能成为处理速度的瓶颈，报告质量不足或无法复现的提交会被退回^[6]。

参见

• 白帽子 —— 补天众包机制中的主要参与者，通过发现并报告漏洞获得平台认可。

• 安全应急响应中心 —— 企业接收与处理漏洞的常设组织，补天为其提供托管式建设服务。

• 国家信息安全漏洞共享平台 —— 国家层面的漏洞信息共享机构，补天长期向其报送漏洞数据。

• 奇安信 —— 补天漏洞响应平台的运营方。

• 漏洞披露 —— 补天所处的制度背景，涉及漏洞信息公开时机与责任边界。

• 网络安全法 —— 补天平台测试规则所依据的基础法律之一。