从「保护黑客」起家

HackerOne 的故事始于 2011 年。彼时，Jobert Abma 与 Michiel Prins 两位道德黑客，主动对全球 100 家大型科技公司进行安全测试，并成功在 Google、Facebook、Apple、Microsoft、Twitter 等企业中发现漏洞。然而在那个年代，安全研究者的处境颇为微妙：他们手握善意，却可能随时面对法律诉讼甚至牢狱之灾。

HackerOne 的诞生正是为了改变这一局面。平台为企业与研究者搭建了一个双方同意的合作空间，让白帽黑客可以合法提交漏洞并获取报酬。对于许多研究者而言，这意味着不再需要为发现一个越权访问漏洞而担忧法律风险，取而代之的是一句「感谢」和一笔赏金。

黄金年代：社区、赛事与凝聚力

从 2017 年到 2020 年，HackerOne 每月都会举办全球线下 Live Hacking 活动。来自世界各地的顶尖白帽黑客被邀请至同一地点，针对指定目标进行高强度安全测试。据 Margolis 回忆，一场为期 1 至 3 天的活动，往往能为客户带来全年都难以企及的高危报告数量。

那段时间，HackerOne 还建立了社区空间、地区俱乐部、黑客大使体系，甚至为每场活动定制海报与纪念币。Margolis 表示，自己许多最亲密的朋友都来自这一时期的线下活动，可见当时社区氛围之浓厚。

盈利压力下的转向

然而，商业模式的追问在 2020 年前后变得难以回避。公开资料显示，HackerOne 在 2014 至 2022 年间累计融资约 1.6 亿美元。当资本需要回报时，平台开始从「服务黑客」转向「服务销售」：创始人 CEO 被替换，收费模式从赏金抽成改为按年签约，销售人员成为扩张主力。

Margolis 指出，这一转变带来了一系列连锁反应：一线漏洞分类人员因薪资低、工作量大而流失；黑客面对的低质量项目越来越多；客户的报告质量下降，成本却不断上升。与此同时，平台本身的用户界面与功能多年未见明显改进。

AI 时代的矛盾表态

2024 年底，Marten Mickos 卸任 CEO，原 F5 首席产品官 Kara Sprague 接任。此后，HackerOne 开始大力推广「持续威胁暴露管理」概念，并推出名为 Hai 的内部 AI 助手。然而，这一产品在研究者群体中评价不高，被指多为 OpenAI 套壳，未能解决平台长期存在的功能诉求。

更具争议的是 2026 年 2 月的一起事件。有研究者发现 HackerOne 更新服务条款后，用户提交的漏洞报告可能被用于训练 AI 模型。联合创始人 Alex Rice 迅速出面否认，强调「不会使用研究者提交内容训练或微调生成式 AI」。

但不久后，另一段产品团队的说明又被曝光：平台正在对所有报告运行 AI 初步审查，并称该系统「会从行为中学习」。虽然 HackerOne 辩称这并非「模型训练」，而是将反馈存储于数据库以辅助推理，但在研究者看来，这一区分缺乏实质意义。

平台的未来在哪里

在 Margolis 看来，HackerOne 的问题并非技术失误，而是身份迷失。他从 2017 年以研究者身份加入，后又以项目管理者身份与平台打交道多年，最终得出的结论是：这家公司已经难以辨认当初的使命。

不过，他也认为市场并未关闭大门。在文章结尾，他直接向同行与潜在创业者喊话：「工具已经在你手中，去建造 HackerOne 本可以成为的样子。」

来源：teknogeek.io / Joel Margolis《What Happened to HackerOne?》