关于使用AI辅助安全测试规范及违规白帽处置的通告
补天平台 2026-11-11 18:24 北京
补天漏洞响应平台鼓励白帽子使用 AI 提升漏洞发现效率，但无论是否借助 AI，白帽子都应对测试行为和报告内容负责，确保每一步操作处于授权范围内。为保障测试行为始终在授权与安全边界内开展，平台现将相关测试规范和近期违规处置情况公布如下：
一、安全测试规范
测试应以证明漏洞存在为限，遵循授权明确、最小必要、发现即止原则。白帽子及其部署的自动化工具和 AI Agent 均须遵守以下要求，使用 AI 不构成免责：
1
授权范围：仅测试任务或公告明确列出的资产，范围不清须先确认，不得扩大至第三方、关联公司或内网资产。
2
禁止行为：不得实施删除、拖库、批量爬取、拒绝服务、横向移动、真实资金操作等可能影响生产业务或真实用户的行为，不得使用测试获取的凭据登录。
3
工具与 AI：自动化工具须限制速率、并发和请求次数；扫描器、爆破器须获明确授权，Agent 的行为由使用者负责。
4
最小取证：取得证明漏洞所需的最少证据后即停止，不读取、保存或传播无关及敏感数据。
5
终止与配合：出现越界、业务异常或影响无法评估时立即停止并报告；漏洞报告须真实、脱敏、可复现，测试完成后及时清理数据和产物。
二、违规处置通告
针对近期出现的越界测试及影响生产业务等行为，现公示部分补天入驻专属 SRC 的违规白帽处置情况：
易车
白帽 ID：An********g
违规行为：使用 AI 开展测试时，横向获取内网信息。
处置措施：禁止测试易车相关项目。
水滴
白帽 ID：a****k
违规行为：扫描行为对业务运行造成影响。
处置措施：禁止测试水滴相关项目。
北森云
白帽 ID：x****y、醉*****梦
违规行为：使用 AI 开展自动化测试时，未有效限定其行为边界，导致 AI 超出授权范围及允许的测试强度自主执行，影响生产业务。
处置措施：予以警告。
📢 重要提醒：被禁止测试的白帽子，须立即停止在对应企业项目中的测试行为，不得通过更换账号、委托他人或调用 AI 工具等方式绕过限制。如对上述处置有异议，请联系补天平台运营人员反馈。
我们珍视每一位遵守规则、负责任地参与安全建设的白帽子。平台将持续秉持公平、公正、公开的原则，与各位携手，共同打造更清朗、更可信赖的网络安全生态。未来，期待我们继续并肩前行。感谢大家的理解与支持。
补天漏洞响应平台
本文转载自微信公众号「补天平台」，查看原文。版权归原作者所有，如有侵权请联系删除。