当安全研究员以善意发现并报告漏洞时，预期得到的回应是感谢和修复。然而现实往往更为复杂 ——Yannick Dixken 在 2025 年 4 月发现一处严重漏洞后，收到的不是技术团队的感谢，而是一封来自数据保护律师事务所的威胁函。这一案例揭示了漏洞披露流程中容易被忽视的法律风险，也为行业提供了宝贵的实战参考。
事件回顾：从技术发现到法律威胁
Dixken 在报告中详细描述了整个过程。他发现的漏洞暴露了敏感的个人数据，包括姓名、地址、联系方式、出生日期，甚至涉及未成年人数据，这直接关联到 GDPR 合规问题。按照协调漏洞披露的基本原则，他首先设定了 30 天的 embargo 期限，同时按照马耳他当时的协调漏洞披露政策要求，联系了目标公司和 CSIRT Malta。
公司的回应方式出人意料 —— 没有技术团队跟进，而是直接交由数据保护律师事务所处理。函件中虽然承认了漏洞存在并提及了缓解措施（如密码重置、启用双因素认证），但核心内容是对研究员的指责：批评他先通知当局而非直接联系公司，并声称这一行为 “可能构成马耳他法律下的刑事犯罪”。更为关键的是，律师事务所要求 Dixken 签署一份类似 NDA 的保密声明文件，要求他确认已删除数据、严格保守机密、甚至禁止讨论整个披露过程，并设置了当日截止期限和多次提醒。
Dixken 的选择是拒绝签署任何限制他讨论披露过程的保密协议，但同时提供了有限的数据删除确认。这一立场既保护了他作为研究员的发言权，也展现了善意配合的态度。
法律边界的识别：何时善意会变成 “犯罪”
理解各国法律对安全研究的定性，是预防和应对法律威胁的第一步。在 Dixken 的案例中，律师事务所援引马耳他法律称其行为可能构成刑事犯罪，但这种指控的合理性值得商榷。从技术角度看，负责任的漏洞发现和披露与恶意入侵之间存在本质区别 —— 前者以识别和修复安全风险为目的，后者以未授权访问和数据窃取为意图。
德国目前在这一领域的态度更为明确。联邦司法部已起草法律草案，明确将善意安全研究人员排除在刑事责任之外。草案设定的保护条件非常具体：研究员的意图必须是识别漏洞或安全风险；必须打算向责任实体（运营方、供应商或 BSI）报告；访问行为必须与发现漏洞的目的必要且成比例。只要满足这些条件，研究员可以免于因未经授权数据访问、数据拦截或数据修改等罪名被起诉。
这一立法方向与欧盟 NIS2 指令和协调漏洞披露框架的趋势一致，明确鼓励善意研究行为。德国联邦司法部本身也公开表示，填补安全缺口的研究人员应当获得认可，而非面临刑事威胁。
应对策略：收到律师函后的实操步骤
基于 Dixken 案例的经验教训，以下是在收到类似法律威胁时可以采取的具体行动。
第一步是立即停止沟通并保留完整记录。 任何来自对方律师的函件都应被视为正式法律文件，此后的所有沟通都应当谨慎。保留从最初发现漏洞到收到函件之间的所有邮件、时间线、技术步骤和截图，这些证据在后续可能需要证明研究员的善意意图和合理行为边界。
第二步是寻求专业法律咨询。 虽然这不是立即行动，但了解所在国家的法律环境至关重要。德国上述草案一旦通过，将为研究员提供明确的法律保护；但在其他司法管辖区，情况可能更为复杂。建议在进行安全研究前就了解本国法律框架，而非等到收到律师函后才行动。
第三步是审慎评估保密协议内容。 Dixken 的案例中，律师事务所要求签署的声明实质上是一份全面的 NDA，禁止讨论整个披露过程。这种要求超出了合理范围 —— 确认数据已删除是合理的，但限制研究员描述发现漏洞和披露的过程，则可能损害公众知情权和行业学习机会。实践中，可以考虑提供有限的数据删除确认，同时拒绝涉及披露过程本身的保密条款。
第四步是考虑引入第三方见证。 如 Dixken 案例所示，向国家级 CSIRT 或相关机构报告漏洞，可以创建官方记录，证明研究员的善意意图。在德国，BSI（联邦信息安全办公室）可以作为协调方；在其他国家，也有类似的计算机应急响应小组可以发挥这一作用。
预防机制：如何在发现漏洞时保护自己
相比事后应对更重要的是从一开始就建立保护机制。
在技术层面，发现漏洞时应当尽可能减少对系统的访问和影响，只获取验证漏洞存在所必需的最少数据。一旦确认漏洞应当立即停止进一步的数据访问，避免被指控为数据窃取。
在流程层面，建议遵循标准化披露框架。设定明确的 embargo 期限（行业惯例为 30 至 90 天），使用可验证的渠道进行报告（如官方安全邮箱或通过 HackerOne/Bugcrowd 等平台），并保留发送和接收的证据。
在法律准备层面，了解所在司法管辖区的法律规定。如果所在国家已有类似德国草案的保护性立法，在报告中可以明确引用相关条款；如果没有，则可以参考国际通行做法，强调研究的善意性质和公共利益价值。
行业启示：建立健康的漏洞生态
Dixken 案例之所以值得关注，不仅因为它展示了个体研究员面临的真实风险，更因为它折射出当前漏洞生态中的结构性问题。企业面对漏洞时的本能反应往往是 “掩盖” 而非 “修复”，将发现者视为威胁而非帮助者，这种心态不仅无助于提升安全水平，反而会打击善意研究者的积极性。
健康的漏洞生态需要双向努力：研究员遵循负责任的披露规范，企业则以开放态度接收报告并给予合理认可。德国草案的推进表明，立法层面正在为这一生态提供制度保障。对于个体从业者而言，了解自身权利、保持善意初心、建立证据意识，是在复杂法律环境中保护自己的关键。
参考资料
- Yannick Dixken 博客: "I found a Vulnerability. they found a Lawyer."（dixken.de）
- BleepingComputer: Germany drafts law to protect researchers who find security flaws