黑客驱动安全报告（第8版 2024/2025）

核心观点

• 安全威胁持续演变：随着人工智能的普及，网络安全威胁正以前所未有的速度增长和变化。组织需要不断升级防御措施，以应对新的攻击手段。
• 黑客驱动安全模式的价值：安全研究员社区持续创造价值，并得到组织的信任。人力驱动、AI赋能的安全测试对于识别自动化扫描器常会遗漏的漏洞至关重要。
• 人工智能的影响：人工智能既是风险也是机遇。生成式人工智能（GenAI）是主要风险之一，但AI也被用于改进漏洞管理。
• 研究人员技能提升：安全研究员正拓展其专长至人工智能、API和大型语言模型（LLM）等领域。
• 漏洞报告持续增长：尽管组织在安全方面持续投入，但每年漏洞报告数量仍稳步增长，多数行业仍在反复报告最常见的那些漏洞。

关键数据

• 漏洞类型：跨站脚本（XSS）是漏洞悬赏计划中最常见的漏洞，而渗透测试则更多发现系统级或架构性的漏洞。
• 行业趋势：技术最先进的行业（如Web3公司）在减少跨站脚本（XSS）事件数量方面已取得成效。
• 人工智能安全：近半数（48%）的安全领导者认为生成式人工智能（GenAI）是他们所看到的最重大风险之一。
• 研究人员动机：赚钱是关键动机（77%），其次是学习提升技能（64%）和职业发展（48%）。
• 漏洞报告数量：过去一年中，平台上报的有效漏洞增加了12%，其中27%被评为高或严重级别。
• 行业漏洞报告：金融服务是目标最多且监管最严格的行业之一，2023年第一季度遭遇了70次攻击，影响了大约170万名受害者。
• 漏洞悬赏：平均悬赏金额保持稳定，同比增长5%，从1,066美元增至1,116美元。
• 预算分配：组织分配预算所针对的漏洞，并不总是与其报告数量相匹配。

研究结论

• 纵深防御策略：最佳防御，层层深入。组织应采用纵深防御策略，加固其安全体系的每一层，并在整个软件开发生命周期中持续进行漏洞测试。
• 主动安全方法：HackerOne的主动安全方法确保在整个软件开发生命周期(SDLC)中持续进行漏洞检测，从而在开发初期直至部署及部署之后最大化覆盖范围。
• 投资回报率：漏洞悬赏计划是投资回报率最高的项目之一。缓解回报（ROM）的概念为评估安全投资的真实价值提供了一个实用的框架。
• 未来展望：人工智能将在提升安全团队管理漏洞报告和修复的能力方面发挥重要作用。同时，研究人员社区将在确保我们日益依赖的人工智能工具的安全性和完整性方面发挥关键作用。