快手SRC关于白帽子行为规范及违规处理的通告

各位白帽师傅们：

感谢大家长期以来对快手安全的关注与支持！我们始终坚信，健康、有序、可持续的 SRC 生态离不开每位安全研究者的共同维护。

随着人工智能技术的快速发展，AI 辅助漏洞挖掘与安全测试正逐渐成为新的研究趋势。快手安全应急响应中心（以下简称“快手 SRC”）始终鼓励广大白帽师傅在合法、合规、善意的前提下开展安全研究，合理利用 AI 等新技术提升漏洞挖掘效率与报告质量。

与此同时，为保障快手及相关业务的网络与数据安全，规范安全测试行为，维护公平、专业、高效的漏洞披露与交流环境，快手 SRC 特发布安全测试规范，进一步明确安全测试边界、漏洞提交要求及违规行为处理标准。

希望各位白帽师傅在积极探索新技术、挖掘真实安全风险的同时，共同坚守安全测试底线，维护良好的安全研究生态。

违反快手SRC安全测试规范通报

经快手安全应急响应中心核实：

白帽安全研究员（快手用户***3055）在安全测试过程中，未对 AI 自动化测试行为及范围进行有效约束，测试活动超出授权边界，已违反快手 SRC 安全测试规范。

综合考虑违规行为的性质，快手 SRC 已依据平台规则，对相关人员采取扣除漏洞奖励、严厉警告等处罚措施。

Part.01

AI 辅助安全测试规范

kuaishou security

快手 SRC 鼓励安全研究人员合理使用人工智能工具提升安全研究效率，但 AI 辅助或自动化生成的漏洞报告应与其他漏洞报告遵循相同的真实性、有效性及可复现性要求。

1.鼓励合理使用 AI 技术

2. AI 测试边界与违规责任

AI 工具的使用不得突破本规范规定的测试范围及行为边界。安全研究人员对 AI 工具的全部行为承担主体责任，不得以 AI 自主执行、自动化决策或自身未直接操作为由主张免责。

使用 AI 辅助或自动化方式开展测试，不得超出漏洞验证的必要限度读取、留存或导出数据，不得将获取的数据及凭证以任何形式传输至授权环境之外或提供给第三方，不得利用已获得的权限扩大测试范围。

测试过程中，如 AI 已突破上述边界，研究人员应立即停止测试，通过快手 SRC 官方渠道报告，并配合完成相应处置。

上述违规行为以快手 SRC 监测形成的客观记录为认定依据。一经监测确认，无论测试是否成功、是否造成实际影响、数据是否已删除或是否已对外披露，均认定为违反本规范；研究人员不得以任何理由主张免责。

对于存在上述行为的研究人员，快手 SRC 有权依据本规范及平台规则采取相应处理措施，并保留依法追究相关法律责任的权利。

Part.02

安全测试基本规范

kuaishou security

1.测试范围与合法合规要求

安全研究人员仅可针对快手 SRC 官方公布的测试范围及授权资产开展安全测试，并应严格遵守《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》等相关法律法规，采用合法、正当、必要的方式开展安全研究，不得侵犯快手、用户及任何第三方的合法权益。

2.禁止危害业务及网络安全的测试行为

安全测试应遵循最小影响原则，不得采取可能破坏系统、影响业务正常运行或危害网络安全的测试手段，包括但不限于：

3.数据安全与隐私保护

安全研究人员不得以安全测试为由，非法获取、复制、下载、传播、出售或向第三方提供快手及其他第三方的商业信息、源代码、运营数据、用户资料、个人信息等敏感数据。
漏洞验证应坚持最小必要原则。对于可能涉及用户数据、业务敏感信息的漏洞，应在确认漏洞真实性及基本影响后及时停止进一步测试，避免扩大数据接触范围，并通过快手 SRC 官方渠道反馈。

4.漏洞保密与负责任披露