赵精武

(北京航空航天大学 法学院， 北京 100191)



网络安全漏洞挖掘的法律规制研究

赵精武

(北京航空航天大学 法学院， 北京 100191)

网络安全漏洞的挖掘、披露、交易、修复日益成为各国网络安全治理的中心议题。“袁炜案”直接表明了我国现行法对网络安全漏洞挖掘行为的否定性态度，《刑法》第二百八十五条前两款对善意黑客的漏洞挖掘行为构成了不当限制，应当通过《网络安全法》第二十六条对其在漏洞挖掘领域的适用进行严格的限缩解释，并围绕《网络安全法》从立法论的角度重塑漏洞管理机制。在充分考虑网络安全漏洞自身动态性、复杂性、开放性的基础上，从国家安全的高度把握漏洞挖掘治理，健全漏洞挖掘立法体系；完善漏洞库并配套漏洞评级机制；明确公私合作框架，对挖掘主体进行备案；在遵循现有实践的基础上对挖掘行为分级授权，并进一步强化漏洞的跨境流动应对。

网络安全漏洞; 善意黑客; 漏洞挖掘规制; 挖掘主体备案

一、问题的提出

(一)网络安全漏洞挖掘关乎国家安全

互联网正在逐渐摆脱其最初的工具、渠道、平台属性，逐渐转变为异常复杂的网络空间。按照搜索引擎爬虫是否可以检索或通过超链接的形式访问，互联网分为表网(Surface Web)和暗网(Dark Web)两层，作为互联网“蛮荒地带”的暗网中充斥着大量待价而沽的高风险网络安全漏洞，一些著名网络安全公司雇员甚至沦为“数据掮客”，以贩卖高风险漏洞给其他国家和极端组织作为营利手段。……