一家技术公司，如何用九年时间系统性地摧毁安全社区对自己的信任
引：2026 年 10 月 24 日，上海
这一天是程序员节
上海，GEEKCON 2026 安全极客大赛正在进行。这是国内最顶尖的白帽黑客赛事，前身是 2014 年创办的 GeekPwn，创始团队 DARKNAVY 早在 2015 年就完成了全球首次对特斯拉的远程破解。过去十几年，选手们在这里破解过苹果、特斯拉、安卓设备、各种机器人：当众攻破最具代表性的智能设备，正是这个赛事的核心主线
今年的无人机攻防环节，题目叫”失控的无人机”：裁判先用 GPS 欺骗把一架消费级无人机逼进虚拟禁飞区、整机锁死，选手要利用未知漏洞夺回控制权、突破禁飞限制。这道题验证的命题很硬核：底层控制权一旦失守，约束飞行的安全机制是否也会跟着失效
活动进行到一半，警察来了
这并不是节目效果，是真警察
有人以”非法黑客教学、教唆破解”为由报警，多名参赛选手和裁判被带走配合调查，赛程当场暂停。报警的，据网络安全专家谭晓生披露，是”某被破解的市场占有率特高的无人机厂商”。结合中国消费级无人机市场长年 70% 以上的份额，全网都猜是同一家公司：大疆
GEEKCON 组委会主席王琦在现场当众怒斥：“我做了这么多年，我没见过你这么傻逼的人！”
谭晓生则公开批评：“不解决问题本身，把发现问题的人解决，成了不少企业的’最佳实践’，真是悲哀！”
当晚，主办方宣布上海站闭幕。这件事在安全圈炸了锅。但对于熟悉大疆历史的人来说，这不是意外，而是又一次重演
背景
要理解这件事的荒诞程度，需要先明白 GeekCon 是什么级别的赛事
GEEKCON 由 DARKNAVY 创办，是全球非营利性安全极客技术活动平台，自 2014 年创立以来已在北京、上海、澳门、新加坡、拉斯维加斯等地落地。华为、腾讯安全、蚂蚁等中国头部科技公司长期赞助，本身就是认同”提前发现漏洞优于漏洞爆发后补救”这一逻辑的体现
这是顶级安全研究的公开展示平台。更重要的是，GeekCon 有明确的负责任漏洞披露规则：赛事从头到尾不会披露漏洞细节，甚至不会公开点名被破解设备的生产厂商。换句话说，在案发前，连”被破解的是哪家的无人机”都没有对外说过
同一场 2026 的活动里，vivo 手机被破解，vivo 是赞助商，安全总裁就在现场，没有任何人报警；钉钉被破解，支付宝高管作为组委会委员在场，同样没有人报警；宇树机器人被破解，也没人应激。报警的，只大疆一家
上一届 GEEKCON 2025 就做过无人机攻防：选手全程未接触机身，让悬停的两架无人机当场失控坠毁，另两架被劫持后直线爬升。行业里没人觉得这有什么问题，因为这就是安全研究的工作方式
Finisterre 事件
要理解为什么安全圈对这次事件的第一反应是”又是大疆，那不奇怪了”，需要回到 2017 年
Bug Bounty 的诞生背景
2017 年 8 月，美国陆军以”网络安全漏洞”为由，下令全面停止使用大疆产品。大疆在舆论压力下，仓促推出了 bug bounty（威胁识别奖励）计划，提供 30000 不等的漏洞赏金
按照安全研究员事后的评价，这个计划 更像是一次公关动作，而不是真正想改善安全性
计划上线四天后
安全研究员 Kevin Finisterre 联系了大疆。他在大疆自己的公开 GitHub 仓库里发现了一件难绷的事：
大疆的全域名 SSL 私钥（*.dji.com 通配符证书）、AWS 账户凭证、固件 AES 加密密钥，全部明文暴露在公开代码仓库里。而这些密钥，已经在 GitHub 上躺了两到四年
这把钥匙意味着什么？拿到 SSL 私钥，可以冒充大疆官网；拿到 AES 固件密钥，可以解密飞控固件，进而绕过所有地理围栏和飞行限制；拿到 AWS 凭证，可以访问大疆服务器上存储的用户数据
Finisterre 顺着这把钥匙，访问到了：用户未加密的飞行日志、护照扫描件、驾照、政府证件，其中包括来自军事和政府域名的飞行日志。他整理出一份 31 页的详细报告，提交给大疆
大疆确认：漏洞属于 Bug Bounty 范围，给出最高奖励： 30000USD
130 封邮件之后
接下来是漫长的拉锯。大疆拿出一份 NDA 要 Finisterre 签署，要求他不得公开声称自己发现了这个漏洞。对安全研究员来说，公开署名的职业价值不亚于现金奖励，这个条件难以接受。Finisterre 找了律师咨询，四位律师独立给出了一致意见：合同”风险极高”，“疑似恶意起草以封口”
130 多封邮件往来之后，大疆法务部门发函，援引《计算机欺诈和滥用法》（CFAA）（这是一部可以追究刑事责任的美国联邦法律
Finisterre 将此视为威胁，决定放弃 30000USD，转而公开整个经历。他发布了一篇题为《为什么我放弃了大疆的三万美元赏金》的 18 页 PDF，在安全圈广泛传播
大疆的回应：公开称 Finisterre 为”黑客”，定性其行为为”未经授权访问”
同期另一个研究员更惨
就在 Finisterre 事件发酵的同一个月，另一位研究员 Sean Melia 向大疆报告了 Heartbleed 漏洞、SQL 注入漏洞，以及可以完整访问采购订单数据库的严重缺陷。按大疆自己的赏金标准，这至少值 16000USD。大疆给他的报价是：500
Melia 拒绝了，并告诉大疆：“你们根本不应该搞什么 bug bounty 计划”
员工的结局
当初把密钥传上 GitHub 的大疆内部员工叫李占斌。他后来给 Finisterre 发过邮件，说自己是无意间上传的。2018 年 1 月，他被大疆开除。2019 年，他被判处六个月监禁，罚款 20 万元人民币
捋一下这个结构：把密钥明文放到网上的是大疆员工，进监狱；发现并报告的是 Finisterre，被威胁和公开羞辱；什么错都没犯的 Melia，被给了象征性的 $500。真正犯了严重安全失误的大疆公司本身，无事发生
为什么公关如此稀烂
大疆是一家拥有顶尖工程师文化的公司，但其公关表现却像是完全外包给了外行。这背后大概有几个结构性原因
-
中国市场长期不需要好公关。大疆在国内基本处于垄断地位，消费者没有选择。在这种环境下，公关部门养成的肌肉记忆是压而不是沟通。出了事先封口、先威胁、先报警，这套在国内偶尔管用，到了安全社区却是灾难，因为程序员最不吃这套
-
把不解释当傲慢在用。Apple 也很少公开解释自己，但 Apple 的产品设计本身就是最好的公关。大疆学了这个姿态，却忘了前提是每一个决策都要经得起 review。一边号称重视安全，一边举报白帽黑客，这个矛盾不解释是不行的
最核心的是：大疆从来没有真正输过。从 2006 年创立到现在，产品一直是全球最好的，市场份额从来没有被动摇过，竞争对手一个个死在沙滩上。一家公司在这种环境里待了二十年，会产生一种危险的信念：我们做什么都是对的，因为我们一直赢。每一次”压住了”都在强化错误的经验，每一次侥幸过关都让下一次更加肆无忌惮
GeekCon 这次，大疆完全有机会把它变成一个绝佳的公关素材：“我们的产品强到顶级黑客赛事都拿来当靶子练手”。但他们选择了弹幕最多的打法，把一个可以拿来吹的故事变成了全行业嘲笑的梗。这叫 Streisand Effect：芭芭拉·史翠珊当年起诉摄影师删除她家的航拍照片，照片传播量从 6 次变成了几十万次。大疆这次又是一次重演
无人机不像手机，没有”够用就行”的平替。飞控稳定性、续航、图传质量，差一点点用户就能直接感受到，代价可能是炸机，甚至是伤人。这个行业天然向技术最强的玩家集中，没有低端替代品的生存空间。大疆的竞争对手昊翔、零度、Parrot 一个个要么死了要么奄奄一息
在这种一家独大的格局下，大疆非常清楚自己的用户画像：在乎安全的人本来就不买我，买我的人不在乎安全。所以报警这个决策，在他们的商业逻辑里，甚至可能是合理的
这是一大独大的代价，没有竞争的代价：它保护了大疆，也让大疆失去了被迫变好的压力
最深远的后果
GeekCon 事件最深远的后果，是信任链的断裂
白帽黑客向厂商报告漏洞，本质上是一种君子协议：我帮你找问题，你修完给我署名或奖金，皆大欢喜。大疆这次等于公开宣告：跟我们玩这套，我让你坐牢
以后发现大疆漏洞的研究员，面对的选择实际上只有三个：扔掉 / 公开 / 卖掉。报给大疆这个选项，已经从桌上消失了
一个能远程控制无人机的 RCE 漏洞，在漏洞黑市上价格非常可观。以前研究员还会权衡”卖出去良心过不去”，现在大疆亲手解决了这个心理负担：你连参加合法比赛都要被抓，我还欠你道德感？
大疆无人机的全球保有量是天文数字。一次大型无人机表演活动，几百架机器在空中，如果有未被披露的 RCE 漏洞，攻击者不需要枪也不需要炮，只需要一台笔记本就能制造出大新闻，目标密集，人群聚集，直播画面清晰。GeekCon 那道题的名字正叫”失控的无人机”。大疆报警阻止了演示，但没有阻止漏洞存在
最终的结果是：漏洞依然存在，只是从台面转移到了暗网价格表里，修复时间从 week 变成了 Never。用户买的每一台大疆，安全性因为这次报警，实际上变得更差了
人类从历史中学到的任何教训就是没有学到任何教训
GeekCon 事件发酵时，知乎上有人提到了一个 11 年前的故事
2015 年前后，安全研究员在乌云网（当时中国最大的漏洞披露平台）披露了婚恋网站世纪佳缘的一个安全漏洞。乌云按照负责任披露的流程通知了世纪佳缘，世纪佳缘修复了漏洞。然后，世纪佳缘转手报警，把那位研究员送进了看守所
那件事震动了当时的国内安全圈，乌云最终在 2016 年关闭。2026 年，同样的剧本在更大的舞台上重演
有人在知乎说：“这已经是 11 年前的事情了，没想到 2026 年了还能看到这档子事”
区别在于，这次是国内最知名的黑客赛事，主办方有足够的公信力和声量来反击，让这件事的影响范围扩大了许多倍。但结构是一模一样的：研究者帮你找漏洞，你用法律手段打击研究者
恶性循环与慢性死亡
把所有这些事件放在一起，会看到一个非常清晰的结构：
赢得太容易 → 不需要反思 → 傲慢 → 出问题用权力压 → 侥幸过关 → 更不需要反思
每一次成功压制，都在强化错误的经验。决策系统本身坏掉了，却没有任何纠错机制。正常的公司有三条纠错路径：竞争对手的压力（没有）、用户用脚投票（无人机没得选）、内部反对声音（汪滔那种性格，内部大概没人敢说）三条路都堵死了
大疆会死，但可能死得比所有人预期的都晚。历史上能打破这种循环的，要么是颠覆性技术出现让护城河蒸发，要么是监管直接下场。前者现在看不到苗头，后者各国都在酝酿但动作很慢
最可能的路径，是几件事叠加：某个 RCE 漏洞被真正利用，出现高关注度的安全事故，监管介入；海外市场彻底立法封死；安全人才彻底不愿意去大疆，技术护城河开始从内部侵蚀。任何一件单独发生都不致命，但三件叠加，然后突然就没了
诺基亚花了十年，柯达花了二十年。大疆的护城河更深，惯性更强，但方向一旦错了，深度只会让沉没更彻底
漏洞不会因为演示被叫停而消失，它只会从台面转入地下。链条末端买单的，恰恰是花真金白银买无人机的普通人
结
这件事里最值得我们反复看的，是谭晓生说的那句话：不解决问题本身，把发现问题的人解决，成了不少企业的”最佳实践”，真是悲哀
大疆的漏洞在那里。不管 GeekCon 的演示有没有被打断，漏洞都在那里。白帽黑客可以选择不研究你的产品，黑产可不会因为没人研究就放过你的产品
2017 年，Finisterre 发现 SSL 密钥挂在 GitHub 上，拿着证据来找大疆，被威胁，放弃了 $30,000，写了一篇 18 页的报告公开整个过程。九年后，安全研究员在合法赛事上演示飞控漏洞，被警察带走问话
两件事的本质完全相同：技术问题，被当成公关问题来处理。公关问题，被当成法律问题来解决
每一次用权力代替技术来回应技术问题，大疆都在把自己的用户推向更大的风险里。这不是夸张，这是逻辑
而此刻全球有数以百万计的大疆无人机在空中飞着，在人们头顶上飞着，在农田、电影拍摄现场、消防救援现场飞着，在城市上方的表演里整齐编队飞着。它们的安全，建立在大疆愿意认真对待安全的基础上
而大疆，自己先放弃了安全
