安全研究人员正利用大语言模型实现侦察自动化、逆向工程API，并以前所未有的速度扫描代码库。通过将AI工具应用于从模糊测试、漏洞利用自动化到跨代码库和网站的模式识别等各种技术，研究人员正以更快的速度发现漏洞。
HackerOne高级漏洞赏金计划经理Crystal Hazen表示：“过去一年，我们进入了所谓的‘仿生黑客’时代，即人类研究人员利用自主式AI系统收集数据、进行分类并推进发现。”HackerOne已在其平台上添加了AI工具，以帮助简化提交和分类流程。
HackerOne的研究发现，与2024年相比，今年与AI相关的有效漏洞报告数量增长了210%。同时，由于漏洞赏金计划不断发展，以应对AI应用中的漏洞，今年为AI漏洞支付的总赏金也激增了339%，其中提示注入漏洞、模型操纵和不安全的插件设计占到了大部分发现结果。
AI垃圾加重了防御者的负担
行业专家建议，AI应仅作为“研究助手”或指导工具，而非漏洞发现的主要机制。
漏洞赏金平台Intigriti的首席黑客官Inti De Ceukelaire表示，AI为黑客提供了公平的竞争环境，因为它可以帮助技能较低的研究人员识别潜在易受攻击的系统或分析代码中的漏洞。但基于AI的分析结果并不总是可靠的，这带来了实际问题。
De Ceukelaire告诉记者：“我们看到，AI成为了那些认为自己可能有所发现的人的回声室和放大器，诱使他们陷入确认偏误的恶性循环。”
处理外部漏洞报告的安全团队，需要对那些明显严重依赖AI的收到的报告越来越持怀疑态度。
De Ceukelaire表示：“提供分类服务的漏洞赏金平台可以提供帮助，因为它们能够衡量研究人员随时间推移的记录，并利用深入的技术在报告到达公司之前检测和识别出AI垃圾。”
其他安全专家也认同，到目前为止，将AI工具应用于漏洞搜寻的结果好坏参半，同时他们认为，通过仔细分类可以缓解这些问题。
网络安全与合规咨询公司ProCircular的进攻性网络行动主管Bobby Kuzma表示：“正确应用和验证的AI工具确实能提供高影响力的发现结果，但我们也看到，大量报告让相关项目不堪重负，其中大部分报告，委婉地说，都是垃圾。”
对一些AI工具生成的大量质量参差不齐的报告进行分类，给资源不足的项目带来了压力，包括那些与关键开源软件项目相关的项目。
例如，curl项目——一种常用于下载文件的命令行工具——已公开呼吁停止提交AI检测到的漏洞。项目维护人员抱怨称，他们花费了太多时间处理使用AI工具生成的低质量漏洞报告。
项目负责人Daniel Stenberg将大量未经证实和虚假的报告比作拒绝服务攻击。最近，在收到部分由AI工具生成的真正漏洞报告后，Stenberg缓和了他的批评。
“误报”如潮水般涌来
Cobalt.io首席技术官Gunter Ollmann警告称，AI正在加剧供应商因常常收到低质量漏洞提交而面临的现有问题。
Ollmann表示，安全研究人员转向AI，正制造出“大量噪音、误报和重复报告”。
“安全测试的未来不在于管理一群发现重复和低质量漏洞的漏洞猎人，而在于按需获取最佳专家，以发现和修复可利用的漏洞——作为持续、程序化、进攻性安全计划的一部分。”Ollmann说道。
英国投资研究平台TrustNet的首席信息安全官Trevor Horwitz补充道：“最佳结果仍然来自知道如何指导工具的人。AI带来了速度和规模，但将输出转化为影响的是人类的判断力。”
云安全供应商Wiz的威胁暴露主管、漏洞赏金猎人Gal Nagli告诉记者，至少对于技术更娴熟的从业者来说，AI工具尚未在漏洞赏金搜寻中产生巨大影响。
例如，那些大规模自动化基础设施漏洞(如默认凭据或子域名接管)的研究人员，已经拥有了可靠的工具和检测方法。“在这些情况下不需要AI。”Nagli说道。
Nagli解释道：“AI的真正价值在于增强专家级研究人员的能力，特别是在测试已认证门户或分析庞大的代码库和JavaScript文件时。它有助于发现以前过于复杂或微妙而无法在没有AI辅助的情况下检测到的漏洞。”
最新一代模型可以为技术娴熟的漏洞赏金猎人提供真正的帮助，不是通过取代他们，而是通过增强他们的发现能力。
Nagli补充道：“完全自主的智能体仍然面临困难，特别是在身份验证和人类情境至关重要的场景中。”
企业风险管理
漏洞赏金计划已发展为企业风险管理策略的延伸，通过在攻击者利用漏洞之前不断发现真实威胁。
安全领导者正转向持续的、数据驱动的暴露管理，将人类智慧与自动化相结合，以实现对资产、供应链和API的实时可见性。
HackerOne报告称，83%的受访企业现在使用漏洞赏金计划，且赏金总额同比增长13%，所有计划的赏金总额达到8100万美元。
HackerOne表示，随着跨站脚本(XSS)和SQL注入等常见漏洞类型变得更容易缓解，企业正将重点和奖励转向揭示更深层次系统性风险的发现结果，包括身份、访问和业务逻辑漏洞。
HackerOne最新的年度基准报告显示，不当访问控制和不安全的直接对象引用(IDOR)漏洞同比增长了18%至29%，凸显了攻击者和防御者现在集中精力的领域。
HackerOne的Hazen总结道：“2025年，组织面临的挑战将是平衡速度、透明度和信任：衡量众包的进攻性测试，同时保持负责任的披露、公平的赏金支付和AI辅助的漏洞报告验证。”
