To Pay or Not to Pay? The Battle Between Bug Bounty & VDPs by Aaron Guzman | BBV, DEF CON 33
三句話摘要
Cisco分享十年bug bounty運營經驗，推介新研究工具包幫助安全研究員更有效提交漏洞報告。 明確的程序分類、結構化的提交標準、AI輔助的決策工具，加上持續的關係建設，是讓bug bounty生態對安全研究員與企業都更有效的根本。 雙軌程序設計解決流程混亂：Bounty程序專門處理產品與營收相關風險（最高獎勵10,000美元），VDP負責基礎設施與運營問題（累積積分換取硬體）。此分法消除研究員的困惑，加快漏洞分流，也讓Cisco能從不同角度系統地降低風險。
重點整理
重點- 1
雙軌程序設計解決流程混亂：Bounty程序專門處理產品與營收相關風險（最高獎勵10,000美元），VDP負責基礎設施與運營問題（累積積分換取硬體）。此分法消除研究員的困惑，加快漏洞分流，也讓Cisco能從不同角度系統地降低風險。
- 2
提交品質直接影響評估速度：標題、版本、POC（概念驗證）、業務影響、截圖五項要素構成高質量提交的標準。結構化提交不僅能更快獲得獎勵，也幫助Cisco發現類似弱點，提升修復效率。
- 3
PIRR框架簡化決策流程：Product Impact與Revenue Risk導向Bounty、Infrastructure導向VDP或VDP+協調披露。講者特別強調要把思考焦點從「選擇正確的提交渠道」轉移到「專注於發現漏洞本身」。
- 4
工具賦能降低新手進入門檻：Toolkit提供AI輔助的研究領域建議、OWASP測試指南、漏洞路由推薦與報告範本，讓初心者也能快速產出專業級提交，同時保護本地隱私（所有運算在本機執行）。
實用技巧與重點
乾貨- 程序歷史與規模
- 2013年作為內部試點，由技術支援團隊推動（當時Cisco還沒有專屬安全團隊）
- 演進過程：RT系統 → 託管服務 → 雙軌程序模式
- 規模擴張：3百萬活躍設備 → 1000萬；產品線從數條 → 85條以上
- 獎勵方案
- Bounty最高獎金：10,000美元
- VDP獎勵機制：積分制，可兌換硬體
- Cisco Researcher Toolkit
- 五項工具：研究領域建議、OWASP測試指南、漏洞路由建議、品質分析、報告生成
- AI提供商支援：Claude、Gemini、OpenAI（API金鑰本地管理，不存儲在雲端）
- 介面形式：Web介面（主要）、CLI版本
- PIRR框架分類
- Product Impact → Bounty（產品相關風險）
- Infrastructure → VDP/Bounty（基礎設施、雲平台、資料中心資產）
- Research → VDP（配置問題、運營問題如dangling DNS、子網域接管）
- Revenue Risk → Bounty（營收影響風險）
- 高獎金漏洞類型排序
- IDOR（縱向權限提升）
- Authentication Bypass（認證繞過）
- Sensitive Information Access（敏感資訊存取）
- 最新擴展範圍
- Catalyst設備（無線控制器）
- C9200交換機
- Campus Gateway控制器
- Wi-Fi 7私人獎勵計畫
- 提交品質五項檢查清單
- Title（標題）
- Version（版本）
- POC（概念驗證）
- Business Impact（業務影響）
- Screenshots（截圖）
- 內部成果
- 投報率(ROI)：20倍
- 頂級賞金獵人成功招聘案例2件（Hall of Fame成員現任職於Cisco）
結論
結論“明確的程序分類、結構化的提交標準、AI輔助的決策工具，加上持續的關係建設，是讓bug bounty生態對安全研究員與企業都更有效的根本。”
完整解析
詳細講者以Cisco安全計畫負責人身分，分享了自身從安全研究員、滲透測試人員到企業漏洞管理者的職涯轉變。他親身經歷過前bug bounty時代的痛苦——與廠商協調、郵件往返、180天等待CVE發放。後來在Belkin和Linksys擔任漏洞管理職時，又深刻體會到消費類公司安全團隊面對大量漏洞提交的無力感。這段經歷給了他雙方的同理心。
Cisco運營bug bounty超過十年，但近年面臨了破裂點——大量out of scope提交被轉向技術支援或帳戶團隊，最終無人處理或消失。研究員得不到回應，企業也失去了發現真實風險的機會。為了打破這個僵局，Cisco建立了雙軌機制。Bounty計畫保留給高價值產品風險，VDP則成為「歡迎墊」，三天內快速回應，歡迎報告基礎設施、配置或架構層面的問題。VDP不只有經濟獎勵，還提供積分制，研究員可用積分換取硬體進行進一步的安全研究。
為了幫助研究員在雙軌程序中快速做出正確選擇，講者設計了PIRR框架。不同於複雜的決策樹，PIRR只需思考漏洞涉及的四個維度：是否影響產品本身、基礎設施、研究價值、或營收。這簡化了認知負荷，讓研究員專注於發現漏洞而非選擇提交管道。
講者接著推介Cisco Researcher Toolkit——一款本地運行的開源工具，整合了Claude、Gemini或OpenAI的AI能力。工具提供三項核心功能。首先，它會根據最新發布的高價值目標（如Wi-Fi 7設備、Catalyst無線控制器）提示研究領域，並整合OWASP IoT安全測試指南，給初心者一個明確的起點。其次，漏洞路由建議引擎會根據輸入的產品、影響程度、業務關鍵性自動推薦應送往Bounty還是VDP。第三，提交品質分析會檢查報告是否包含標題、版本、POC、業務影響、截圖五項要素，並生成符合模版的初稿。
講者強調高質量提交的重要性。與漫無目的的bug報告相比，結構化提交能更快被Cisco評估，研究員也更快獲得獎勵確定性。Cisco歷年最高獎金的漏洞多為IDOR、認證繞過、敏感資訊洩露——這三類都涉及存取控制，也是最難系統性解決的安全問題。公司甚至成功招聘了兩位史上最頂級的賞金獵人加入團隊。其中一位在Wi-Fi管理介面發現的漏洞顯示，當研究員能系統性地理解架構、與公司分享觀點時，他們不只修補個別缺陷，而是幫企業診斷根本病症。
講者的最後一個強調是關係建設。漏洞提交不只是交易——研究員發現bug、企業支付獎金。真正的價值來自相互理解：企業明白研究員的動機與方法，研究員理解企業的風險優先級與技術制約。只有透過這種信任與對話，雙方才能發掘風險的真正根源，設計可持續的解決方案。
關鍵時刻
Pipeline v2帶時間戳的重點，會在逐字稿層級分析上線後產生。目前請先透過原始影片觀看。
事實查核
Pipeline v2說法查證是下一次管線升級的一部分。KeyFrame 只會顯示它真正能驗證的內容。
