Merchants of vulnerabilities: How bug bounty programs benefit software vendors
创建于 更新于
摘要
本文提出一个博弈框架，研究软件厂商如何通过发布时点与严重/非严重漏洞赏金设计来管理后期漏洞发现与披露。模型显示，在可行区内，BBP通过将严重漏洞第一发现的概率从恶意黑客转向道德黑客，提升厂商预期利润并将一部分暴露风险转化为有界的按结果付费成本。此外，私人BBP的最优邀请专家集随威胁水平上升而增大，但仍小于攻击者总数，且在基线模型下BBP的可行性会条件性地推动更早的发布。以上结论来自对赏金定价、可行性区域以及发布时点的系统分析，且与私有程序的入口控制与资源约束紧密相关 [page::11][page::13][page::14][page::15]。
