河北
在过去一年里，有一个话题几乎成了整个网络安全行业讨论的焦点：人工智能。
好像每周都有新消息、新功能，或者关于人工智能将如何改变安全领域的新的预测。在攻击性安全领域，讨论尤为激烈。现在已经出现了AI辅助的漏洞发现、AI生成的攻击模拟、AI驱动的分析工具，以及关于自主安全测试越来越大胆的说法。
我最常被问到的问题其实特别简单：
“人工智能会取代渗透测试人员吗？”
我的回答同样简单：不会。
AI真正会做的，是改变渗透测试人员的工作方式。
而且在很多方面，它会让有经验的渗透测试人员变得更吃香。
人工智能已经在改变安全测试：
先说显而易见的。
AI确实很厉害。
现代人工智能模型能够处理海量信息、识别模式、总结发现、关联数据源，发现潜在问题的速度，远远超过任何一个分析师手动操作能达到的效率。
在进攻性安全领域，AI已经在帮助团队：
- 更快速地识别漏洞
- 分析大型数据集
- 跨环境关联分析结果
- 发现潜在攻击路径
- 生成文档和报告
- 减少重复性的人工操作
这些都是有意义的改进。
许多过去耗费顾问大量时间的环节，现在都能大幅提速。
因此，企业对自身环境的了解比以往任何时候都更全面。
但可见性本身从来都不是最终目标。
发现漏洞从来都不是最难的事：
网络安全领域最大的误区之一，就是以为发现漏洞是主要挑战。
其实不是。
理解风险才是真正的挑战。
大多数组织已经掌握了大量安全数据。他们用漏洞扫描器、接收渗透测试报告、获取威胁情报、部署攻击面管理工具，同时监控日志和警报。
问题往往不在于信息完全缺失。问题在于理解什么才是重要的。
- 哪些漏洞是真正可利用的？
- 哪些攻击路径是真正现实的威胁？
- 哪些问题需要立即修复？
- 哪些发现可以暂时搁置？
这些问题比简单地识别漏洞要难回答得多。而且，回答这些问题需要结合具体情境。
情境判断才是人类专业经验的价值所在
漏洞很少孤立存在。
任何一个发现的实际风险都取决于多种因素，包括资产重要性、业务影响、补偿性管控措施、用户权限、环境配置、攻击者动机以及多个弱点之间的关系。
这正是经验丰富的渗透测试人员能提供的、AI无法独自复制的价值。
在进行评估时，我们不仅仅是识别漏洞。我们像攻击者一样思考。
我们会问这样的问题：
- 我会如何获得初始访问权限？
- 我接下来会瞄准什么？
- 我如何将这些弱点串联起来？
- 可以访问哪些数据？
- 实际利用会有多困难？
- 可能的业务影响是什么？
这些判断往往并不简单。它们需要判断力、创造力和经验。
两个组织可能在各自环境中存在相同的漏洞，但由于所处情境不同，相关风险可能天差地别。
理解这种差异，正是人类专业能力发挥关键作用的地方。
未来不是自主测试的天下：
现在，自主安全测试这个话题非常火。这个想法听起来确实不错。把一个环境丢给AI模型，就能得到对风险的全面了解。
现实情况要复杂得多。
攻击者不会按预设的流程来。
- 他们会随机应变。
- 他们会临场发挥。
- 他们会抓住意想不到的机会。
- 他们会把看似不起眼的弱点串成有杀伤力的攻击链。
成功的攻击性安全评估，也需要同样的灵活性。
虽然AI能帮忙做分析和发现，但安全测试本质上还是要理解人的行为、业务背景和攻击者的决策方式。在这些方面，人的专业能力仍然比自动化更胜一筹。
在可预见的未来，我相信最有效的做法是：人来主导，AI来辅助。不是人对付AI，而是人加上AI。
AI应该让渗透测试人员变得更强：
我们要讨论的不该是怎么取代渗透测试人员，而该是怎么让他们如虎添翼。当重复性的工作被自动化之后，顾问就能把更多时间花在最有价值的事情上。
他们不用再手动处理信息，而是可以把更多时间花在：
- 分析攻击路径
- 验证可利用性
- 理解业务影响
- 识别复杂攻击链
- 就修复优先级向客户提供建议
- 带来切实的安全成效
在许多方面，AI让技术娴熟的安全专业人员能够在更高层次上开展工作。它是在放大专业能力，而不是取代专业能力。其结果并不是渗透测试人员变少。
而是渗透测试人员变得更强。
真正的挑战是优先级排序：
随着AI不断改进漏洞发现与分析，组织将不可避免地发现更多安全问题。
这听起来是好事，但这也会催生一个新的挑战。更多发现并不会自动降低风险。事实上，如果没有有效的优先级排序，它们反而会制造更多噪声。
未来十年取得成功的组织，未必是发现漏洞最多的组织。它们将是那些能够最有效地区分真实风险与背景噪声、理解攻击者在实践中可能如何利用弱点，并明智地决定把有限的资源用在哪儿的组织。
随着AI不断改进漏洞发现与分析，安全团队将不可避免地获得比以往更多的数据、更多的发现以及更强的可见度。尽管这对整个行业而言是重大进步，但光有可见度并不能降低风险。真正的价值在于搞清楚什么才是关键、什么可以被利用、下一步该做什么。
这就是为什么我相信安全测试的未来不是全自动的。而是人主导、AI辅助的。AI工具将继续加速分析、提升可见度，并帮助发现以前可能被漏掉的问题。然而，理解业务背景、评估现实世界风险并做出合理的安全决策，归根结底仍然是人类的责任。
网络安全行业多年来一直在努力解决可见度问题。AI正在帮助我们取得巨大进展。下一个挑战是优先级排序，而这正是经验丰富的安全专业人员将继续发挥最重要作用的领域。
我们推荐了最好的防病毒软件。
html
本文是TechRadar Pro Perspectives的一部分，这是我们展示当今科技行业最杰出人才的平台。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
