今年是微软漏洞赏金计划十周年，该计划是我们保护客户免受安全威胁的前瞻性战略的重要组成部分。自2013年启动以来，微软已向来自70个国家的数千名安全研究人员颁发超过6000万美元奖金。这些研究人员通过协调漏洞披露机制发现并报告漏洞，帮助微软应对不断演变的安全威胁格局和新兴技术。
项目起源
2013年6月，我们启动公司首个漏洞赏金计划，最初针对Windows 8.1的新型利用技术和IE11预览版的漏洞。虽然微软并非首个为外部报告软件漏洞提供金钱激励的企业，但我们率先鼓励对测试版产品的漏洞挖掘。我们坚信，在产品正式发布前尽早发现并修复漏洞对客户保护至关重要。
项目初期面临内部阻力。时任微软安全响应中心高级安全战略师的Katie Moussouris回忆，公司高管曾质疑是否需要为漏洞发现支付报酬。尽管微软每年收到大量漏洞报告，但政策转变并非易事。团队还担心外部研究可能公开暴露漏洞，或导致服务过载。
在项目启动前，Katie主导了漏洞披露行业标准的制定工作，并参与编写ISO漏洞披露处理标准。她推动的BlueHat Prize防御性安全竞赛（奖金池20万美元）也证明了微软对研究人员贡献的认可。
发展与扩张
前五年项目年收报告不足100份，参与者仅数十人。到2018年，已有十余个独立运营的子项目，但存在响应时间差异大（从数周到半年不等）、奖金标准不透明等问题。2019年，微软重组赏金计划：
- 将最高影响报告的奖金提高至行业平均的2-10倍
- 制定公开透明的评估标准（漏洞严重性/安全影响/受影响产品/报告完整性）
- 取消"内部已发现不奖励"政策，改为优先奖励首个外部报告
- 将奖励标准聚焦于客户影响而非漏洞复杂性
改革成效显著：2019财年报告数量、参与人数和奖金总额均翻倍；2020财年奖金超1300万美元，覆盖15个产品线的300多名研究人员。过去五年颁发的奖金占十年总额的95%。
2020年7月引入基于场景的高额奖励（最高10万美元），推动零点击远程代码执行和跨租户漏洞发现量年增50%以上。微软还建立MORSE（微软攻击研究与安全工程）团队，系统性分析漏洞数据以改进产品安全架构。
当前机制
如今该计划涵盖Azure、Edge、Microsoft 365、Windows、Xbox等全线产品，各子项目设有独立的研究范围、奖励标准和提交指南。参与者包括：
- 兼职安全研究人员
- 学生和学者
- 网络安全专业人士（含MAPP合作伙伴的攻防团队成员）
- 经父母同意的青少年研究者
微软通过季度/年度"最有价值研究员"排行榜、专项研究挑战和长期研究资助等方式持续深化与研究社区的合作。该计划帮助微软从攻击者视角理解系统弱点，推动全局性安全加固措施。