AMD因漏洞修复耗时过长拒付安全研究员万美元赏金引争议

近期，芯片巨头AMD因拒绝向一名独立安全研究人员支付1万美元的漏洞赏金，在网络安全领域引发了广泛争议。该事件起因于该研究员发现并报告了一个影响AMD硬件的关键安全漏洞。然而，AMD方面最终以“该漏洞从披露到完全修复的周期长达124天”为由，判定其不符合漏洞奖励的支付标准，从而拒绝了付款。尽管安全研究员在此过程中保持了配合，但AMD内部漫长的修复流程最终成为了拒付奖金的理由。这一处理逻辑被众多安全专家视为将厂商自身开发效率低下的后果不合理地转嫁给了外部协助者。业界普遍担忧，如果芯片厂商随意更改赏金规则，以修复时效为由克扣奖励，将严重挫伤“白帽子”通过正规渠道协助厂商发现隐患的积极性，进而可能导致更多关键漏洞未被及时发现，对整个芯片生态系统的安全防护构成潜在威胁。

事件分析

💡 核心观点：厂商不应将自身修复流程低效的后果转嫁给安全研究者，透明的赏金机制才是吸引人才补齐安全短板的关键。