传统的渗透测试是一个项目。你要界定范围、等待排期、支付一张五位数金额的发票，然后在数周后收到一份 PDF，描述的却是一个早已发生变化的系统。对于每周都在发布的团队来说，这只是一张已经不复存在之物的快照。自主 AI 智能体改变了其中的经济账——而且，只要你足够审慎，也改变了测试的节奏。
人工测试项目的成本花在哪里
人工测试的价格大部分花在熟练人员的工时上，而这些工作是可重复的：枚举端点、尝试已知的攻击类型、把发现写成报告。这就是为什么典型的测试项目费用大约在一万到三万美元之间，也是为什么团队每年只买一两次。
智能体带来了什么变化
我们的智能体对照 OWASP LLM Top 10（映射到 MITRE ATLAS）测试 AI 应用——聊天机器人、智能体和 RAG 端点。每次运行都遵循同样的结构：侦察、针对每个类别的尝试，以及一条从一个弱点走向下一个弱点的攻击链，直到它要么产出一个可运行的概念验证，要么一无所获。
- 每一项报告的发现都有可复现的概念验证。 智能体无法证实的候选项会被丢弃，绝不会进入你的队列。这是最大的一项效率提升：工程师不必花一个上午去证伪误报。
- 几分钟就能得到已证实的发现，而不是几周后才拿到报告。 运行过程会实时讲解，你可以看到尝试了什么、得到了什么结果。
- 预算上限限定了最坏情况。 每个套餐都为单次运行设定了支出上限，因此成本是可预测的。
- 产出三份交付物： 一份可分享的证明函、一份面向你的工程师和审计方的完整技术报告，以及一份供 GRC 工具使用的机器可读版本。
算一笔账
下面是为每月发布、每次都想做评估的团队准备的一份刻意从简的对比：
| 人工，每年 12 次 | AI 智能体，每年 12 次 | |
|---|---|---|
| 每次评估价格 | ≈ $10,000–30,000 | 一次扫描，按次计费 |
| 年度支出 | ≈ $120,000–360,000 | 每年十二次扫描 |
| 出结果所需时间 | 每个项目数周 | 几分钟即可得到已证实的发现 |
| 实际频率 | 每年一到两次 | 每次发布 |
这不是同等条件下的对比，我们也不希望你这样解读。 与针对 AI 应用的自动化运行相比，人工测试覆盖的范围更广——基础设施、物理、社会工程和定制业务逻辑。重点并不是一次扫描就能买到价值 $30,000 的测试，而是可重复的部分不必再按人工价格购买。
人类仍然占优的地方
- 新颖的业务逻辑。 智能体发现的是符合其已知模式的问题。一个理解你产品的人，能找到没有人编目过的滥用场景。
- 范围判断。 决定什么值得攻击、什么超出边界，是人的工作。
- 监管机构或客户愿意接受的保证。 有些合同要求由具名、具备资质的测试人员执行。正因如此，我们提供对扫描的持证人工复核，并且绝不会把一次自动化运行描述为一项认证。
合理的模式是分层的：对每一次有意义的变更进行自动化测试，并按计划、在自动化层已经清理过的范围内开展人工测试项目以获得深度。人的工时用在最难的部分上。
可以核验的效率
向任何供应商（包括我们）都应该问的三件事：
- 你们的发现中，有多大比例附带可运行的证明？ 我们报告的每一项发现都有；再问问其余的候选项去了哪里。
- 我能重放它吗？ 无法重新运行的概念验证只是一种说法。
- 你们尝试了什么、又在哪里失败了？ 只有当你能看到尝试过什么时，一个干净的结果才有意义。
安全性是价格的一部分
一款指向你系统的攻击性工具需要边界。公开目标在进行任何测试之前都需要经过所有权验证，测试在一次性沙箱中运行，出站流量和预算都设有上限，源代码绝不会被用于训练模型。这些都公布在我们的 信任中心上，正因如此，自动化测试才成为你可以在某个周二下午随手运行的东西。
从 渗透测试页面对一个预发布环境中的应用试运行一次扫描；查看 套餐，或 联系我们 ，了解面向安全公司和 MSSP 的层级。