事件历史事件
AI渗透测试智能体：能验证漏洞，难从零发现
先了解这件事
AI 综述
2026年10月，一篇对谈整理文章介绍，AI渗透测试智能体已能替人读完海量网络流量与日志，通过PortSwigger官方MCP服务器与Burp Suite联动，并擅长验证漏洞假设，但从零发现漏洞仍不如人工。文章还提到，XBOW在2025年夏以约1060份报告登上HackerOne第二季度排行榜第一。
AI 根据报道生成 · 15 天前更新
相关研究
报道提到其成果的论文
- 报道提到 AgentDojoAgentDojo：评估 LLM 智能体提示注入攻击与防御的动态环境“你的智能体弄垮过生产环境吗？”2026年AI渗透测试能做什么、仍有哪些不足
arXiv · 2024-06-19 · 深度解读
后续时间线
10月28日
- Хабр“你的智能体弄垮过生产环境吗？”2026年AI渗透测试能做什么、仍有哪些不足
文章整理了作者与 Medici Lab CTO 兼 CISO Alexander Kelchin 对谈中的实践内容，梳理 2026 年 AI 渗透测试智能体的能力与短板。智能体已能替人读完海量网络流量与日志、通过 PortSwigger 官方 MCP 服务器与 Burp Suite 联动，并擅长验证漏洞假设，但从零发现漏洞仍不如人工；XBOW 在 2025 年夏以约 1060 份报告登上 HackerOne 第二季度排行榜第一，公司称发现全自动、提交前仍经安全团队复核。作者将搜索短板归因于内部渗透报告受 NDA 限制、模型缺乏训练数据。文中以作者自己的智能体重启数据库、未验证服务是否恢复的案例引入，给出运行渗透智能体的规则：以允许命令白名单代替黑名单、破坏性和重启类操作须经人工确认、每次修改后验证结果、破坏性测试只在客户书面接受的测试环境进行。