白帽黑客年薪（白帽子黑客收入）
?。ㄞD(zhuǎn)自：奇安信） 安全內(nèi)參6月27日消息，白帽白帽一個(gè)名為Xbow的黑客黑客“黑客”登上了全球知名漏洞平臺(tái)排行榜的第一名，該榜單統(tǒng)計(jì)誰(shuí)發(fā)現(xiàn)并報(bào)告了最多的年薪國(guó)際大型公司軟件漏洞然而，Xbow并非真人，收入而是白帽白帽由一家同名公司開(kāi)發(fā)的AI工具。
據(jù)HackerOne聯(lián)合創(chuàng)始人Michiel Prins介紹，這是年薪首次有企業(yè)開(kāi)發(fā)的AI產(chǎn)品憑借聲譽(yù)在HackerOne美國(guó)排行榜中登頂該排行榜根據(jù)發(fā)現(xiàn)漏洞的數(shù)量及其嚴(yán)重程度進(jìn)行評(píng)定作為一家僅成立一年的初創(chuàng)公司，Xbow剛剛完成一輪融資，收入籌集7500萬(wàn)美元，白帽白帽由Altimeter Capital領(lǐng)投，黑客黑客現(xiàn)有投資方紅杉資本和NFDG也參與其中。年薪
公司近一年來(lái)已獲得1.17億美元（約合人民幣8.4億元）融資，收入但未透露最新的白帽白帽具體估值 Prins表示，安全研究人員和黑客長(zhǎng)期以來(lái)致力于將工作流程自動(dòng)化，黑客黑客在過(guò)去兩年里，年薪AI已成為關(guān)鍵工具幾乎所有的人類(lèi)黑客如今都會(huì)使用AI輔助操作，目前已有少數(shù)幾家公司在嘗試進(jìn)入該賽道，Prins將這類(lèi)公司稱(chēng)為“黑客機(jī)器人（hackbot）公司”。
AI攻防、機(jī)器競(jìng)速的時(shí)代正在來(lái)臨 Xbow由前GitHub高管Oege de Moor于2024年1月創(chuàng)立，其主要功能是自動(dòng)化滲透測(cè)試，也就是模擬黑客行為以發(fā)現(xiàn)系統(tǒng)安全漏洞，進(jìn)而滲透企業(yè)網(wǎng)絡(luò) 企業(yè)通常會(huì)雇傭或組建所謂“紅隊(duì)”執(zhí)行這類(lèi)任務(wù)，以提高系統(tǒng)防護(hù)能力。
但Oege de Moor指出，紅隊(duì)作業(yè)和滲透測(cè)試的成本非常高，一次測(cè)試平均花費(fèi)約1.8萬(wàn)美元，并需數(shù)周時(shí)間完成，因此往往無(wú)法頻繁開(kāi)展他希望通過(guò)Xbow，客戶可以持續(xù)或更頻繁地進(jìn)行這類(lèi)測(cè)試，尤其是在新產(chǎn)品和系統(tǒng)上線前。
Oege de Moor表示：“通過(guò)自動(dòng)化，我們可以徹底改變整個(gè)局面”他曾負(fù)責(zé)微軟旗下GitHub的AI代碼生成工具Copilot的開(kāi)發(fā) 但挑戰(zhàn)也在增加：資金充足的攻擊者也在利用AI算法自動(dòng)化攻擊，不僅降低成本，還能提高攻擊頻率。
投資方NFDG的Nat Friedman表示：“Xbow打造出了一套現(xiàn)階段就能投入使用的系統(tǒng)，這既令人興奮，也帶來(lái)一些憂慮，說(shuō)明我們已經(jīng)進(jìn)入‘機(jī)器攻擊機(jī)器’的時(shí)代”Friedman曾擔(dān)任GitHub首席執(zhí)行官。
Xbow團(tuán)隊(duì)擁有豐富的代碼漏洞檢測(cè)經(jīng)驗(yàn) Oege de Moor曾在牛津大學(xué)擔(dān)任計(jì)算機(jī)科學(xué)教授長(zhǎng)達(dá)20年，他認(rèn)為未來(lái)防御方將憑借Xbow等工具逐步占據(jù)優(yōu)勢(shì)他表示：“我們或許會(huì)經(jīng)歷一段混亂期，因?yàn)椴皇敲總€(gè)人都準(zhǔn)備好應(yīng)對(duì)AI驅(qū)動(dòng)的攻擊。
”但他補(bǔ)充說(shuō)：“如今我們首次真正有希望，在系統(tǒng)上線前由防御者找出并修復(fù)所有漏洞” Oege de Moor此前創(chuàng)辦了安全代碼漏洞檢測(cè)公司Semmle，該公司于2019年被GitHub收購(gòu)而在此之前一年，微軟完成了對(duì)GitHub的并購(gòu)，并任命Friedman為首席執(zhí)行官。
他當(dāng)時(shí)希望通過(guò)一系列收購(gòu)引入新產(chǎn)品和富有創(chuàng)業(yè)精神的人才 Xbow團(tuán)隊(duì)由多位前GitHub資深人士組成，包括曾擔(dān)任Lyft首席信息安全官、現(xiàn)任Xbow安全主管的Nico Waisman，曾在GitHub和Semmle任職、現(xiàn)任Xbow AI主管的Albert Ziegler。
Friedman和Altimeter Capital合伙人Apoorv Agrawal表示，在Oege de Moor創(chuàng)辦Xbow之初，他們就開(kāi)始探索AI在提升網(wǎng)絡(luò)安全方面的潛力 Agrawal表示：“網(wǎng)絡(luò)安全正在經(jīng)歷一場(chǎng)公信力危機(jī)，告警數(shù)量龐大。
”他補(bǔ)充說(shuō)，信息安全負(fù)責(zé)人真正想要的不是更多告警，而是“更少、更加簡(jiǎn)潔的告警”他說(shuō)：“如何實(shí)現(xiàn)這一點(diǎn)？AI能夠提供幫助”Xbow在編碼錯(cuò)誤方面表現(xiàn)優(yōu)異，邏輯錯(cuò)誤方面仍顯不足 HackerOne是一個(gè)安全協(xié)作平臺(tái)，供希望對(duì)其軟件進(jìn)行安全審核的公司發(fā)布漏洞懸賞。
該平臺(tái)既有開(kāi)放項(xiàng)目，也有僅限邀請(qǐng)的私密項(xiàng)目Xbow在這兩類(lèi)項(xiàng)目中均有活躍參與 當(dāng)Xbow這樣的AI工具發(fā)現(xiàn)漏洞后，HackerOne會(huì)要求由企業(yè)內(nèi)部進(jìn)行人工審核，以過(guò)濾AI“幻覺(jué)”之后，Xbow會(huì)通知相應(yīng)公司其產(chǎn)品存在潛在漏洞。
如果企業(yè)確認(rèn)問(wèn)題屬實(shí)，Xbow就能獲得聲譽(yù)積分，漏洞越嚴(yán)重，積分越高
圖：Xbow近期自主發(fā)現(xiàn)了上千個(gè)安全漏洞 Oege de Moor透露，Xbow已經(jīng)成功發(fā)現(xiàn)并報(bào)告了多個(gè)安全漏洞，涉及十幾家知名企業(yè)，包括亞馬遜、迪士尼、貝寶和索尼集團(tuán)他未透露Xbow目前客戶的具體名單，僅表示這些客戶主要來(lái)自大型金融服務(wù)和科技行業(yè)。
盡管Xbow的算法在識(shí)別常見(jiàn)編碼錯(cuò)誤和安全問(wèn)題方面表現(xiàn)優(yōu)異，但在理解由產(chǎn)品設(shè)計(jì)邏輯引發(fā)的漏洞時(shí)仍顯不足 Oege de Moor舉例稱(chēng)，在分析醫(yī)療類(lèi)網(wǎng)站時(shí)，需要明確告知Xbow“處方信息應(yīng)當(dāng)保密”。
此外，算法尚無(wú)法理解，雖然醫(yī)生或藥劑師訪問(wèn)多名患者的處方是合理的，但如果一名患者能看到其他患者的處方信息，那就構(gòu)成嚴(yán)重的安全問(wèn)題 未來(lái)，Xbow還計(jì)劃新增功能，不僅幫助客戶識(shí)別漏洞，還能提供修復(fù)建議和相應(yīng)的代碼示例。
Altimeter的Agrawal指出，要實(shí)現(xiàn)Xbow的廣泛應(yīng)用，還需要客戶改變現(xiàn)有的工作方式 Agrawal表示：“每當(dāng)出現(xiàn)一種足夠先進(jìn)的技術(shù)，其最后一公里的落地應(yīng)用往往需要改變既有的工作流程”他說(shuō)：“這意味著人們需要改變他們多年來(lái)，甚至幾十年來(lái)習(xí)慣的操作方式。
”參考資料：bloomberg.com