mylogs.cn

白帽平台 HackerOne 走下神坛：一个漏洞众测平台的十年变局

2026 年 8 月 10 日

发布于

漏洞众测曾是互联网安全防御体系中颇具传奇色彩的一环，而 HackerOne 曾是这一领域最耀眼的平台之一。然而，一位在该平台活跃近八年的白帽黑客 Joel Margolis 近期发文直言：这家曾经以黑客为中心的公司，正逐步沦为一家「只关心数字与合同」的普通 B2B 企业。

从「保护黑客」起家

HackerOne 的故事始于 2011 年。彼时，Jobert Abma 与 Michiel Prins 两位道德黑客，主动对全球 100 家大型科技公司进行安全测试，并成功在 Google、Facebook、Apple、Microsoft、Twitter 等企业中发现漏洞。然而在那个年代，安全研究者的处境颇为微妙：他们手握善意，却可能随时面对法律诉讼甚至牢狱之灾。

HackerOne 的诞生正是为了改变这一局面。平台为企业与研究者搭建了一个双方同意的合作空间，让白帽黑客可以合法提交漏洞并获取报酬。对于许多研究者而言，这意味着不再需要为发现一个越权访问漏洞而担忧法律风险，取而代之的是一句「感谢」和一笔赏金。

黄金年代：社区、赛事与凝聚力

从 2017 年到 2020 年，HackerOne 每月都会举办全球线下 Live Hacking 活动。来自世界各地的顶尖白帽黑客被邀请至同一地点，针对指定目标进行高强度安全测试。据 Margolis 回忆，一场为期 1 至 3 天的活动，往往能为客户带来全年都难以企及的高危报告数量。

那段时间，HackerOne 还建立了社区空间、地区俱乐部、黑客大使体系，甚至为每场活动定制海报与纪念币。Margolis 表示，自己许多最亲密的朋友都来自这一时期的线下活动，可见当时社区氛围之浓厚。

盈利压力下的转向

然而，商业模式的追问在 2020 年前后变得难以回避。公开资料显示，HackerOne 在 2014 至 2022 年间累计融资约 1.6 亿美元。当资本需要回报时，平台开始从「服务黑客」转向「服务销售」：创始人 CEO 被替换，收费模式从赏金抽成改为按年签约，销售人员成为扩张主力。

Margolis 指出，这一转变带来了一系列连锁反应：一线漏洞分类人员因薪资低、工作量大而流失；黑客面对的低质量项目越来越多；客户的报告质量下降，成本却不断上升。与此同时，平台本身的用户界面与功能多年未见明显改进。

AI 时代的矛盾表态

2024 年底，Marten Mickos 卸任 CEO，原 F5 首席产品官 Kara Sprague 接任。此后，HackerOne 开始大力推广「持续威胁暴露管理」概念，并推出名为 Hai 的内部 AI 助手。然而，这一产品在研究者群体中评价不高，被指多为 OpenAI 套壳，未能解决平台长期存在的功能诉求。

更具争议的是 2026 年 2 月的一起事件。有研究者发现 HackerOne 更新服务条款后，用户提交的漏洞报告可能被用于训练 AI 模型。联合创始人 Alex Rice 迅速出面否认，强调「不会使用研究者提交内容训练或微调生成式 AI」。

但不久后，另一段产品团队的说明又被曝光：平台正在对所有报告运行 AI 初步审查，并称该系统「会从行为中学习」。虽然 HackerOne 辩称这并非「模型训练」，而是将反馈存储于数据库以辅助推理，但在研究者看来，这一区分缺乏实质意义。