关于 AI 辅助安全测试与漏洞报告提交规范的公告

爱奇艺安全应急响应中心

2026年10月10日 17:52
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

本公告面向全体白帽子，明确两类问题的处置原则：

一是 AI 生成的漏洞报告须经人工验证方可提交；

二是借助 AI Agent 测试时的行为边界与责任归属。

请各白帽子严格遵守。

致各白帽子

平台并不反对使用 AI 相关工具。相反，平台相信 AI 将持续降低安全研究的门槛、提升白帽子的个人能力。但近期，平台观察到两类由 AI 放大的问题，现予明确：

其一，报告形式趋于规范，真实性却难以保障。由 AI 直接生成、未经人工验证的误报与\"幻觉报告\"大量涌入，稀释审核资源，拖慢真实漏洞的处置效率。

其二，测试过程趋于自动化，行为边界却日益模糊。AI Agent 托管挖洞使批量取数、越权补测、写入操作、数据外传等行为趋于\"无感\"，当事人往往未能及时察觉自身已越过授权边界。

本公告不以穷举禁止事项为目的（因 AI 会催生规则之外的新的情形），而以阐明原则为先，辅以规则与处置标准，请各白帽子严格遵守。

一、责任归属原则

无论登录、发包、取数的主体是白帽子本人、脚本还是 AI Agent，均视同白帽子本人的行为。

• AI 生成的 payload 被执行，责任由白帽子承担；
• AI 自主遍历越界，责任由白帽子承担；
• AI 将测试数据提交外部大模型造成泄露，责任由白帽子承担。

AI 不具备规范意识，其本质为经白帽子授权的执行工具，而非可代为承担责任的主体。将控制权移交 AI，不构成责任的转移。此项为全部条款之基石。

二、漏洞报告的效力认定

报告的价值不在于文字是否通顺、格式是否规范，而在于能否证明白帽子本人已亲自、真实地验证该漏洞。AI 可用于撰写报告，但不可替代人工验证。

（一）有效报告的证据要求

合格报告须完整载明以下人工验证证据：

• 危害说明：阐明漏洞对业务、用户或数据的影响，而非复述漏洞类型定义；
• 复现步骤：可稳定复现的完整操作路径，而非推测性描述；
• PoC：可执行的、最小化的验证代码或请求序列；
• 关键截图：关键步骤及结果的实证材料。

上述四项缺失或无法证实者，报告不具备采信条件。

（二）无效报告的认定

存在下列情形之一的，平台直接予以驳回，且不提供驳回原因说明：

• 由 AI 直接生成，未经人工复现；
• 未提供有效验证结果或关键截图；
• 存在\"AI 幻觉\"特征，包括虚构请求与响应、漏洞实际不存在、复现步骤不成立；
• 夸大影响、描述与事实不符。

（三）梯度处置

阈值并非容错额度，仅系为有意改正者留出缓冲。对持续制造噪声的账号，平台将从严处置。

三、测试行为边界

白帽与入侵者的区别，不在于技术水平，而在于行为边界。技术能力越强、自动化程度越高，越须严守边界。判断某项测试是否越界，可先就以下两项自问：

其一，本步骤意在\"证明漏洞存在\"，还是\"将该漏洞利用到底\"？证明存在，仅需一次；将漏洞利用到底，则属入侵。取数至可证明读取能力即止，多取一条，性质即可能由\"验证\"滑向\"窃取\"。

其二，若本步骤将被完整记录、公开并归于本人名下，是否仍可坦然执行？若因虑及留痕与追责而迟疑，则该步骤大概率不应实施。此两项自律，可覆盖多数规则无法穷举的情形。

四、测试红线

（一）数据处理

\"接触数据\"不等于\"拥有数据使用权\"。

1. 越权、遍历等测试以证明读取能力为限，禁止批量拉取、拖库或全量导出；
2. 注入读取与越权读取受最小量约束（见第七部分量化红线）；
3. 禁止下载、保存、传播、留存源码、用户资料、凭证及运营数据，无论是否脱敏；漏洞确认后，测试所获数据须立即删除；
4. AI 时代专项约束：禁止将测试中接触的代码、接口、数据、凭证提交至任何外部大模型或在线服务。将其粘贴至对话窗口，即已构成一次数据外传。

（二）权限与系统操作

1. 禁止部署 WebShell、植入后门、执行系统命令等深层渗透行为；
2. 禁止内网渗透与横向移动：获取系统权限或内网访问能力后，禁止使用扫描器对内网资产进行扫描探测，禁止横向接触非对外开放的内网系统、主机与数据，禁止以已获权限或受控环境为跳板访问授权范围外的系统或资产；
3. 获取 AK/SK、Kubernetes 凭证（kube-config、ServiceAccount）等敏感凭据后，应直接提交报告交由平台核验，严禁自行深入利用以\"扩大危害证明\"。

（三）影响范围控制与留痕

1. 禁止自动化批量探测、暴力破解/撞库、DoS/DDoS、高并发压测等影响业务稳定的行为；
2. 禁止钓鱼、近源攻击、社会工程等直接接触人员的行为；
3. 测试全程留痕，禁止删除、篡改、伪造日志；关键操作须如实、及时上报，故意瞒报、漏报造成损害的，从严处理。

五、AI 工具使用的专项要求

AI 工具引入了传统工具时代不存在的新风险，请予以特别关注：

1. 人工审核：AI 生成的 payload、测试用例、脚本，须经白帽子确认后方可执行；禁止直接运行未经审查的内容。
2. 禁止无人监督的自主测试：不得使 Agent 独立决定测试目标、范围、频率与终止条件；高风险环节须人工在场。
3. 警惕提示词注入：Agent 处理的是目标系统返回的内容，而该内容可能被目标侧操纵。异常或恶意响应可能诱导 Agent 越界或执行破坏性操作，喂入 AI 的目标内容一律视为不可信输入。
4. 完整留痕以备自证：保留 Prompt 配置、待执行清单与执行日志，既为约束，亦为事后自证边界守约之依据。
5. 显式加注边界约束：于 Agent 配置中明确测试范围、禁止事项及须人工确认的高风险点，使 Agent 的行为边界与授权范围保持一致。

六、敏感测试报备

涉及数据变更、权限提升、内网探测、内网站点测试（含访问内部业务系统及内部 API）、文件上传、反弹 Shell、容器逃逸等行为，一律遵循\"先报备、经授权、后测试\"；未报备的测试结果不予漏洞奖励。

报备应载明：报备时间、出口 IP、测试账号、目标 URL、测试时段及行为描述。报备有效期以平台确认结果为准（一般为 3 个自然日），IP、账号、URL、行为任一项变更，须重新报备。

提示：翻找敏感凭据、增删改数据、内网扫描与横向移动本身即为禁止行为，可提交详细利用思路，交由平台核验。

七、最小化原则与量化红线

一切测试以\"证明漏洞存在\"为限，量化数值仅为原则的兜底标准：

• SQL 注入：须手工验证，真实数据读取不超过 10 组；
• 敏感数据遍历（含个人敏感信息、业务数据、可用凭证）：实际获取不超过 50 条；
• 越权/注入读取（部分资产口径更严）：真实数据不超过 5 组；
• 命令执行：证明执行能力即止，禁止植入文件、工具、脚本；发现入侵迹象须第一时间告知平台，未经授权不得进一步深入或横向移动。

量化数值并非\"许可额度\"，而是不得超出的上限；能以更少数据完成验证者，应取更少。

八、违规分级处置

本章针对测试行为违规做分级处置；第二部分第（三）项针对AI 无效报告的梯度处置为独立轨道：两条轨道可并行叠加适用、互不计入对方累计次数；同一行为同时触发多项的，分别认定、合并执行。

（一）认定原则：以\"当时可控\"为限

违规认定仅针对白帽子在测试过程中真实掌握、且本可在当下完成的行为。以下情形不认定为违规：

• 漏洞确认或权限被收回后，已无法再次登录操作、删除测试痕迹或清理数据的（如删除已上传文件、清除载荷），不因\"未后续清理\"追责；测试数据应删除的，平台收回权限即视为同意接管清理。
• 因账号被禁用、入口关闭等客观原因无法补做的（如报备要素变更后即时无法重新报备），向平台说明即可，不影响已提交报告。
• 越权类漏洞使用本人名下的多个账号、或自建两个账号做对比验证的，属于正常测试，不认定为\"使用他人真实账号\"。

（二）分级与处置

对造成业务故障、数据泄露等重大影响，或违反法律法规的，平台保留依法追究法律责任的权利。

九、结语

AI 是高效工具，但不会替人承担后果。其所放大的，既包括白帽子的效率，也包括白帽子的失误，更包括白帽子\"决定在何处停手\"的判断力。

安全测试的边界，从来不是为工具而设，而是为做出决定的人而设。守住此界，AI 即为助力；逾越此界，AI 即成风险。

区分白帽与入侵者的，从来不是技术水平，而是行为边界。