360、阿里云在内一共 18 家首批网络产品安全漏洞收集平台，在 2026 年网络和数据安全产业论坛上共同签署《网络产品安全漏洞收集平台自律公约》，用来统一漏洞上报、核验、通知、发布全流程规则，减少漏洞乱披露、信息泄露、夸大风险这类问题，让白帽子、厂商、漏洞平台之间的协作更规范。漏洞收集平台是连接漏洞研究者和软件厂商的中间环节，之前不同平台的处置节奏、披露标准不一样，有的高危漏洞提前公开细节，容易被黑客拿来攻击；这次由工信部 NVDB 平台牵头制定公约，一共 4 章 18 条，从备案、用户管理、漏洞全生命周期管理都定下自律要求，所有签约平台都要按这套标准执行。简单来说，白帽子提交漏洞之后，平台要先核验真假、评估危害等级，优先通知厂商修复，不能随便对外公开漏洞细节；平台本身也要做好备案、日志留存、用户信息保护。这套公约属于行业自律，配合现有的漏洞管理规定一起落地，推动漏洞治理从各自为政变成协同处置，更好地防范网络安全风险。
公约核心自律要点清单
- 备案管理：平台必须先完成工信部备案，上线公示备案编号，变更、注销也要按流程办理
- 平台安全：漏洞接收渠道保持畅通，日志留存不少于 6 个月，做好防泄露、防篡改安全防护
- 用户管理：核实白帽子用户信息，保护个人信息，设置投诉申诉入口，明确双方权责
- 漏洞流程规范：建立接收、验证、评估、通知厂商、处置、发布标准化流程，不能随意夸大漏洞风险
- 漏洞披露原则：优先通知厂商修复；无法联系厂商时上报工信部 NVDB 平台；高危漏洞不能过早公开攻击细节
- 奖励与规则透明：公开漏洞收集范围、奖励方案，引导研究者合法提交漏洞，禁止恶意测试
首批签约平台简表（部分知名平台）
| 平台名称 | 平台类型 |
|---|---|
| 360 漏洞云平台 | 企业漏洞收集与众测平台 |
| 阿里云漏洞库、阿里云安全先知众测平台 | 阿里系漏洞响应平台 |
| 补天漏洞响应平台 | 老牌漏洞众测平台 |
| 漏洞盒子 | 商业安全众测平台 |
| 工信部 NVDB 网络安全威胁和漏洞信息共享平台 | 官方牵头平台 |
公约带来的实际影响
- 对白帽子：提交漏洞的流程更统一，奖励、反馈规则更透明，合法测试的边界更清晰
- 对厂商：漏洞通知渠道稳定，有统一的处置节奏，减少被提前泄底攻击的风险
- 对平台：统一行业标准，规避不合规披露带来的法律风险
- 对网络环境：降低漏洞信息被黑产滥用的概率，提升整体网络安全治理效率
漏洞报送简要流程
- 白帽子在合规范围内测试，向签约漏洞收集平台提交漏洞材料
- 平台核验漏洞真实性、评估危害等级，留存完整记录
- 平台联系对应产品厂商，同步漏洞信息，给厂商留出修复时间
- 厂商完成修复验证后，再按规则适度对外披露漏洞信息；高危漏洞严格管控披露内容
- 全程做好信息保密，不随意泄露厂商和报送者敏感信息
【相关 FAQ】
问题 1：360、阿里云等首批 18 家网络产品安全漏洞收集平台签署的自律公约主要管什么？
回答 1：这份自律公约用来规范这 18 家网络产品安全漏洞收集平台的运营，覆盖平台备案、用户管理、漏洞接收核验、通知厂商、漏洞发布全流程，约束平台不能随意提前泄露高危漏洞细节，防止漏洞信息被黑产利用。
问题 2：签署自律公约之后，在 360、阿里云这类网络产品安全漏洞收集平台提交漏洞有什么变化？
回答 2：360、阿里云这类网络产品安全漏洞收集平台会统一执行公约里的流程，漏洞核验、反馈、通知厂商的节奏更规范，奖励规则、披露要求更加透明，同时平台会加强报送者个人信息保护。
问题 3：这份自律公约是不是法律强制要求，所有漏洞收集平台都必须遵守吗？
回答 3：本次是 360、阿里云等首批 18 家网络产品安全漏洞收集平台自愿签署的行业自律公约，属于自律承诺，不是法律强制条文；但签约平台需要按公约条款约束自身漏洞相关业务，同时依然要遵守国家《网络产品安全漏洞管理规定》。
【参考资料】
[2026-11-10]（首批 18 家网络产品安全漏洞收集平台签署自律公约）央视网
[2026-11-10]（首批 18 家网络产品安全漏洞收集平台签署自律公约）中国新闻网
[2026-11-10]（360、阿里云等首批 18 家网络产品安全漏洞收集平台签署自律公约）安全内参
[2026-11-10]（360、阿里云等首批 18 家网络产品安全漏洞收集平台签署自律公约）IT 之家
【免责声明】
本文内容仅为行业资讯整理，不构成法律意见；《网络产品安全漏洞收集平台自律公约》为行业自律文件，不替代法律法规；漏洞报送、安全测试必须在合法授权范围内开展，禁止未经授权的渗透测试；公约细则、平台名单、处置规则以工信部相关平台和各签约漏洞收集平台官方公告为准。
本文来自作者[浅棱同步]投稿，不代表乌兰科技网立场，如若转载，请注明出处：https://www.wlcbnews.com/kjyw/202611/2434.html
评论列表（4条）
我是乌兰科技网的签约作者“浅棱同步”！
希望本篇文章《360、阿里云等首批 18 家网络产品安全漏洞收集平台签署自律公约解读》能对你有所帮助！
本站[乌兰科技网]内容主要涵盖：互联网行业的追踪与探索
本文概览：360、阿里云在内一共 18 家首批网络产品安全漏洞收集平台，在 2026 年网络和数据安全产业论坛上共同签署《网络产品安全漏洞收集平台自律公约》，用来统一漏洞上报、核验、通知、发布全流程规则，减少漏洞乱披露、信息泄露、夸大风险这类问题，让白帽子、厂商、漏洞平台之间的协作更规范。漏洞收集平台是连接漏洞研究者和软件厂商的中间环节，之前不同平台的处置节奏、披露标准不一样，有的高危漏洞提前公开细节，容易被黑客拿来攻击；这次由工信部 NVDB 平台牵头制定公约，一共 4 章 18 条，从备案、用户管理、漏洞全生命周期管理都定下自律要求，所有签约平台都要按这套标准执行。简单来说，白帽子提交漏洞之后，平台要先核验真假、评估危害等级，优先通知厂商修复，不能随便对外公开漏洞细节；平台本身也要做好备案、日志留存、用户信息保护。这套公约属于行业自律，配合现有的漏洞管理规定一起落地，推动漏洞治理从各自为政变成协同处置，更好地防范网络安全风险。