6月27日消息，一个名为Xbow的“黑客”登上了全球知名漏洞平台排行榜的第一名，该榜单统计谁发现并报告了最多的国际大型公司软件漏洞。然而，Xbow并非真人，而是由一家同名公司开发的AI工具。

据HackerOne联合创始人Michiel Prins介绍，这是首次有企业开发的AI产品凭借声誉在HackerOne美国排行榜中登顶。该排行榜根据发现漏洞的数量及其严重程度进行评定。作为一家仅成立一年的初创公司，Xbow刚刚完成一轮融资，筹集7500万美元，由Altimeter Capital领投，现有投资方红杉资本和NFDG也参与其中。公司近一年来已获得1.17亿美元（约合人民币8.4亿元）融资，但未透露最新的具体估值。

Prins表示，安全研究人员和黑客长期以来致力于将工作流程自动化，在过去两年里，AI已成为关键工具。几乎所有的人类黑客如今都会使用AI辅助操作，目前已有少数几家公司在尝试进入该赛道，Prins将这类公司称为“黑客机器人（hackbot）公司”。

Xbow由前GitHub高管Oege de Moor于2024年1月创立，其主要功能是自动化渗透测试，也就是模拟黑客行为以发现系统安全漏洞，进而渗透企业网络。

企业通常会雇佣或组建所谓“红队”执行这类任务，以提高系统防护能力。但Oege de Moor指出，红队作业和渗透测试的成本非常高，一次测试平均花费约1.8万美元，并需数周时间完成，因此往往无法频繁开展。他希望通过Xbow，客户可以持续或更频繁地进行这类测试，尤其是在新产品和系统上线前。

Oege de Moor表示：“通过自动化，我们可以彻底改变整个局面。”他曾负责微软旗下GitHub的AI代码生成工具Copilot的开发。

但挑战也在增加：资金充足的攻击者也在利用AI算法自动化攻击，不仅降低成本，还能提高攻击频率。投资方NFDG的Nat Friedman表示：“Xbow打造出了一套现阶段就能投入使用的系统，这既令人兴奋，也带来一些忧虑，说明我们已经进入‘机器攻击机器’的时代。”Friedman曾担任GitHub首席执行官。

Oege de Moor曾在牛津大学担任计算机科学教授长达20年，他认为未来防御方将凭借Xbow等工具逐步占据优势。他表示：“我们或许会经历一段混乱期，因为不是每个人都准备好应对AI驱动的攻击。”但他补充说：“如今我们首次真正有希望，在系统上线前由防御者找出并修复所有漏洞。”

Oege de Moor此前创办了安全代码漏洞检测公司Semmle，该公司于2019年被GitHub收购。而在此之前一年，微软完成了对GitHub的并购，并任命Friedman为首席执行官。他当时希望通过一系列收购引入新产品和富有创业精神的人才。

Xbow团队由多位前GitHub资深人士组成，包括曾担任Lyft首席信息安全官、现任Xbow安全主管的Nico Waisman，曾在GitHub和Semmle任职、现任Xbow AI主管的Albert Ziegler。

Friedman和Altimeter Capital合伙人Apoorv Agrawal表示，在Oege de Moor创办Xbow之初，他们就开始探索AI在提升网络安全方面的潜力。

Agrawal表示：“网络安全正在经历一场公信力危机，告警数量庞大。”他补充说，信息安全负责人真正想要的不是更多告警，而是“更少、更加简洁的告警”。他说：“如何实现这一点？AI能够提供帮助。”

HackerOne是一个安全协作平台，供希望对其软件进行安全审核的公司发布漏洞悬赏。该平台既有开放项目，也有仅限邀请的私密项目。Xbow在这两类项目中均有活跃参与。

当Xbow这样的AI工具发现漏洞后，HackerOne会要求由企业内部进行人工审核，以过滤AI“幻觉”。之后，Xbow会通知相应公司其产品存在潜在漏洞。如果企业确认问题属实，Xbow就能获得声誉积分，漏洞越严重，积分越高。

图：Xbow近期自主发现了上千个安全漏洞

Oege de Moor透露，Xbow已经成功发现并报告了多个安全漏洞，涉及十几家知名企业，包括亚马逊、迪士尼、贝宝和索尼集团。他未透露Xbow目前客户的具体名单，仅表示这些客户主要来自大型金融服务和科技行业。

尽管Xbow的算法在识别常见编码错误和安全问题方面表现优异，但在理解由产品设计逻辑引发的漏洞时仍显不足。

Oege de Moor举例称，在分析医疗类网站时，需要明确告知Xbow“处方信息应当保密”。此外，算法尚无法理解，虽然医生或药剂师访问多名患者的处方是合理的，但如果一名患者能看到其他患者的处方信息，那就构成严重的安全问题。

未来，Xbow还计划新增功能，不仅帮助客户识别漏洞，还能提供修复建议和相应的代码示例。

Altimeter的Agrawal指出，要实现Xbow的广泛应用，还需要客户改变现有的工作方式。

Agrawal表示：“每当出现一种足够先进的技术，其最后一公里的落地应用往往需要改变既有的工作流程。”他说：“这意味着人们需要改变他们多年来，甚至几十年来习惯的操作方式。”