联合发布｜《SRC行业授权资产安全测试规范-Agent版》及配套使用手册
补天平台 2026-11-12 11:21 北京
携手共建更规范、更安全、更可持续的授权测试环境。
随着 AI 逐步应用于安全测试，测试效率得到提升的同时，也放大了越界访问、批量请求、数据外发和危险操作的风险。未经人工验证直接提交 AI 生成报告、批量投递无效漏洞、测试超出授权边界，以及因 Agent 操作不当导致业务数据被修改、业务不可用等问题，已多次出现在公开通报中。AI 测试带来的风险，已经从报告质量延伸至业务安全和平台运营秩序。一方面，AI 的生成速度远高于人工验证速度，大量低质量报告挤占审核资源；另一方面，自动化执行放大了越权请求、批量操作和数据外发的风险，一旦缺乏约束，就可能在短时间内造成实际影响。
AI 可以参与测试，但责任不能交给 AI。使用者不能以"操作由 AI 完成"或"不了解工具会如何执行"为由免责，更不能在出现越界或失控后将责任推给工具。使用 AI 开展测试，需要夯实自身技术能力，理解工具的能力与边界，做好测试计划审查、行为约束和过程审计，并对 AI的操作承担责任。
基于这些问题与行业趋势，推动 AI 在授权范围内规范、可控地开展测试，补天平台联合行业 SRC 共同发布《SRC行业授权资产安全测试规范-Agent版》及配套《使用手册》，推动合规测试要求落实到 AI 测试的具体流程和操作中。
01《SRC行业授权资产安全测试规范（Agent版）》
面向参与授权测试的白帽子，以及其部署的自动化工具与 AI Agent，明确授权范围、禁止行为、数据获取边界、中止条件和漏洞上报要求，并针对常见漏洞类型给出具体测试细则。
🔗复制链接查看《SRC行业授权资产安全测试规范-Agent版》
https://oss-yg-cztt.yun.qianxin.com/butian-public/f3406329a57900f96330cbec5b6a3c3f510ee12c3fda0.md
02配套《使用手册》
面向规范使用者（白帽子），介绍如何在 ZCode、Claude Code 等工具中加载规范，并提供部署上下文配置、加载核验、工程层拦截及部署前自查清单。
💡 AI 是辅助，不是免责理由——AI 的一切行为，需要由使用者负责。
安全测试的本质，是帮助企业发现问题、修复缺陷。此次发布，核心是促进合规测试：让授权边界更加清晰，让测试行为更加可控，让责任主体始终明确。规范的建立，不是限制技术探索，而是让每一次授权测试有据可依、有界可守。
期待更多 SRC、厂商和白帽子共同使用、反馈并持续完善，携手共建更规范、更安全、更可持续的授权测试环境。
参与联合发布
补天漏洞响应平台、滴滴安全应急响应中心、小米安全中心、百度安全应急响应中心、奇安信集团安全应急响应中心、讯飞安全响应中心、顺丰安全应急响应中心、中通安全应急响应中心、哈啰安全应急响应中心、快手安全应急响应中心、360漏洞云、小鹏汽车信息安全应急响应中心、新浪安全应急响应中心、微博安全应急响应中心、智联招聘安全应急响应中心、货拉拉安全应急响应中心、陌陌安全、度小满安全应急响应中心、小拉出行安全应急响应中心
〔排名不分先后〕
本文转载自微信公众号「补天平台」，查看原文。版权归原作者所有，如有侵权请联系删除。