HackerOne发生了什么？

# HackerOne 到底发生了什么？ Source: https://blog.teknogeek.io/posts/what-happened-to-hackerone/ 所以……HackerOne 最近到底怎么了？也许是时候做一次健康检查了。 如果你是漏洞赏金圈的新人（1-3 年），你可能完全不知道我在说什么。 但作为一个经历过 HackerOne 黄金时代、早已退役的漏洞赏金猎人，我认为是时候正视这个房间里的大象了。 简单介绍一下背景：我于 2017 年在 HackerOne 上以黑客身份起步。当我开始从事技术工作时，这段亲身经历对管理漏洞赏金项目极其有用，因为我知道研究人员想要什么，以及如何与他们互动。 因此，从 2018 年到 2025 年，我在 HackerOne 上管理过多个大型漏洞赏金项目，涉及多家公司，而且我站在等式两边都有过经历。 接下来要说的，都来自我的第一手经验——既作为研究人员，也作为漏洞赏金项目管理者，还加上多年来与 HackerOne 直接、公开和私下的无数交流。 ## 背景# (https://blog.teknogeek.io/posts/what-happened-to-hackerone/#background) 首先，我觉得有必要理解 HackerOne 最初的设计目的是什么。 2011 年，两位白帽黑客 Jobert Abma 和 Michiel Prins 立志要在 100 家最大的科技公司中寻找安全漏洞。他们成功了，在 Google、Facebook、Apple、Microsoft、Twitter 等许多公司中发现了漏洞。在那个时代，白帽安全研究的处境充满风险、法律上暧昧不清，对安全研究人员来说非常可怕。 研究人员不仅面临巨大的个人责任风险，而且在此之前的多个案例中，已经有黑客因为发现并报告安全漏洞而遭到刑事指控甚至入狱。这在很大程度上是因为法律划出了一些任意而模糊的界线——越过了，你就是坏人；没越过，你可能是坏人，但在技术上不算。 像 HackerOne 这样的漏洞赏金平台，正是为了解决这个问题而设计的。它为公司和黑客创造了一个安全、互利的连接空间，为白帽黑客铺平了道路，让他们能够在完全获得授权的情况下，向公司提交安全漏洞并获得报酬。这是一个巨大的里程碑。你再也不用担心因为发现一个泄露客户数据的 IDOR 而被拖上法庭（或关进监狱）了。相反，你会得到一声“谢谢”，以及一笔现金奖励，因为你让每个人都安全了一点。 这种运营模式是漏洞赏金的基石，并在接下来的 5 多年里一直如此。 ## HackerOne 的黄金时代与实地黑客活动# (https://blog.teknogeek.io/posts/what-happened-to-hackerone/#the-golden-age-of-hackerone-and-live-hacking-events) 在那个时期，公司有一个非常强烈且明确的业务重点：我们如何把产品做到对黑客来说最好？ 日常运营公司的人本身就是黑客，或者是与黑客紧密相关的人，而且大多数人（如果不是全部）都会定期与黑客面对面交流。 从 2017 年到 2020 年，HackerOne 每隔几个月就会举办一次实地黑客活动（Live Hacking Events, LHEs）。这些是独家活动，全球顶尖的漏洞赏金研究人员会飞到一个地方，获得一个目标，然后全力以赴寻找严重漏洞。LHE 对项目来说是一个巨大的价值主张。在 1 到 3 天的时间里，你收到的高危和严重安全报告，可能比一整年的总量还多。 每场活动都有一张独一无二、定制设计的海报，上面有图案、黑客用户名、贴纸和挑战币。很难夸大这段时期对 HackerOne 及其顶级项目来说是多么不可思议和富有成效。 这些活动是独家且极具诱惑力的；邀请函和 +1 名额几乎成了自己的货币。这些活动的氛围超现实。你会获得世界各地的免费机票和酒店，然后花几天时间，身边围绕着世界上最优秀、技术最精湛的漏洞赏金猎人。这些研究人员会经常用自己独特的技术发现一些最有影响力的漏洞，同时在一次次的交谈中分享技巧和心得，这种交流在任何其他地方都无可替代。 在实地黑客活动出现之前，大多数安全研究人员的圈子小而孤立，公开分享信息几乎闻所未闻。LHE 为安全研究人员创造了一种相互连接的方式，并在信息安全领域内催生了一个全新的社区。现在我大多数最亲密的朋友，都是通过实地黑客场景认识的，我对此非常感激 HackerOne。 LHE 并不是 HackerOne 建设和培育安全研究员社区的唯一领域。他们创建了 HackerOne Community (https://h1.community/) 空间，用于组织线下聚会、线上活动、工作坊和 CTF 比赛。他们创建了区域俱乐部，并任命当地的黑客作为大使，帮助在全世界培育和发展本地研究人员社区。 但慢慢地、确定无疑地，事情开始变化。社区团体和活动失去了势头，逐渐消亡。定制设计的丝网印刷 LHE 海报变成了廉价、低成本的激光打印。那些多年来致力于创建和运营精彩活动的人，要么被裁员，要么主动离开。LHE 的邀请和评分系统变得更加（甚至更）排外、游戏化，且极度精于算计。 于是，多米诺骨牌一块接一块地倒下。 ## 盈利问题# (https://blog.teknogeek.io/posts/what-happened-to-hackerone/#the-profit-problem) 在继续往下说之前，我觉得有必要探讨这些变化背后的“为什么”。大约在 2020 年或 2021 年，HackerOne 被迫面对一个每家企业最终都必须问自己的非常重要的问题：“我们怎么赚钱？” 要理解 HackerOne 当初是如何作为企业存活下来的，你得先知道，HackerOne 在成立的头 10 年里，基本上是靠风险投资（VC）资金运转的。在 2014 年到 2022 年之间，公司几乎每两年就进行一次种子轮融资，总共筹集了 1.6 亿美元。如果一家公司能够自我维持，那就几乎没有理由继续融资——除非你的烧钱率极高，而对于一家基础设施和技术创新如此之少的公司来说，这很奇怪。 如果你对 VC 有所了解，你就会知道它通常是怎么运作的：他们给你钱，作为回报，你通过董事会席位、顾问职位和其他杠杆机制，把对企业的间接控制权交给他们。VC 出了钱，所以 VC 拿到权力。 罗马不是一天垮掉的，HackerOne 也不是。范式转变是缓慢开始的，然后一下子全面爆发。驱动平台的核心技术开始停滞。平台内部几乎没有什么变化。界面依旧陈旧、“能用而已”。性能依旧欠缺。 但 VC 们翻开他们的剧本，发现最容易赚钱的办法很简单：获得更多客户。 首先，创始 CEO 被换成了职业经理人 CEO。他们不再从赏金中抽成 20%，而是转向基于容量的收费结构、年度合同，并让客户锁定多年期协议。 然后是销售。销售销售销售！！他们完全相信销售才是业务的命脉。所以他们没有继续以黑客为中心，而是全力押注销售。 更多客户 = 更多年度合同 = 更可预测的长期收入。一旦客户被锁定，他们就会被喂以数据和指标，被各种润滑以保持满意，但同时也让他们的需求保持在低水平。当合同续约时，他们会得到大幅（30-60%）折扣，以换取多年期合同，从而继续锁住他们，让他们持续付费。 客户经理会定期与客户开会，鼓励他们提高赏金，以保持竞争力和对黑客的吸引力。他们会告诉你：“黑客想把时间花在报酬最高的项目上。” HackerOne 对此感到自豪，并在内部鼓励这种行为。他们发放奖励、免费度假 (https://www.linkedin.com/posts/hackeronelife-revenue-sales-share-7201656398047318016-q5Bs/)，并鼓励他们快速扩张的销售团队尽可能多地签下新客户。 hackerone 销售之星特克斯和凯科斯群岛之旅随着这种情况持续，对每个参与者来说，事情都在继续恶化。 对于分诊人员（triagers）来说，最优秀的那些人（他们本身就是黑客）要么精疲力竭，要么辞职。薪酬太低，工作量太大。 对于黑客来说，分诊体验变差，他们被大量低质量的项目淹没。 对于客户来说，报告质量下降，成本上升，逐底竞争开始了。 对于所有人来说，平台体验不断退化，从未进化。 通常在这种情况下，市场经济学规律会表明，这是竞争对手抢走你生意的时候，你必须改进才能保住市场份额。但漏洞赏金是一个寡头垄断市场，有 3 家公司控制了几乎整个市场。 于是，HackerOne 没有去改进，而是被迫创造了一个新的独家机会，叫做“黑客成功计划”（Hacker Success Program, HSP）。这是一个专门的空间，顶尖黑客可以获得 HackerOne 在漏洞赏金相关任何事务上的直接支持。他们会被分配一位由 HackerOne 雇用的“黑客成功经理”（Hacker Success Manager, HSM），并可以利用这种关系来处理误解、糟糕的项目体验、过低或不准确的赏金支付，以及其他许多问题。他们还利用这个空间提供独家机会，比如面向 HSP 群体中黑客的 H1 挑战赛。 我想指出的一点是，虽然这个想法在理论上很棒，但在实践中，它为新手黑客创造了一个完全不平衡的竞争环境。你几乎没有任何途径去为自己辩护或解决问题（祝你好运能跟 HackerOne 支持团队沟通），所以富者愈富，你只能选择忍受，或者滚蛋——除非/直到你成为顶尖黑客。有趣的是，如果你一开始就能获得这些资源，成为顶尖黑客会容易得多。 无论如何，对一些黑客来说，HSP 彻底改变了原本不可逾越的一堵墙。如果你被一家未能理解你报告安全影响的公司坑了，你现在可以依靠你的 HSM 帮你与该公司建立直接沟通渠道，尝试解决问题。 但对另一些人来说，HSP 恰恰凸显了困扰 HackerOne 多年的一个核心潜在失败：功能开发停滞。即使你属于那个独家的 HSP 群体，你**仍然**没有能力做一件重要的事，那就是推动平台内部的变革和开发。 然而，不知为何，HackerOne 决定对此采取一种做做样子的方式，甚至专门创建了一个平台反馈渠道，但对那些反馈却完全不采取任何行动。我甚至数不清有多少条个人反馈和建议被贴在那里，而 HackerOne 却完全没有回应。 ## AI 时代# (https://blog.teknogeek.io/posts/what-happened-to-hackerone/#the-ai-era) 然后，大约在 2021 年，我们都进入了人类历史的一个新阶段：AI 和 LLM 的崛起。 大约从那时起，我们都开始见证 LLM 在速度和能力上的巨大飞跃。你可以用极短的时间一次性生成功能，构建定制工具，总体上用更少的时间完成更多工作。 但正是在这里，HackerOne 走出了一个令人困惑的弯路。让我实在无法理解的是，HackerOne 怎么做到以最糟糕的方式搞砸这项技术的。他们有 10 年的功能请求积压，却被交给了最近 50 年中最强大的软件开发工具之一。但与其用这个工具来改进平台、添加那些早就被要求的功能，他们决定转而创建“他们自己的”AI 助手，名为 Hai。Hai 不仅只是 OpenAI 之上的一个包装壳，而且几乎没有任何真正独特的能力来帮助黑客或项目完成那些他们一直要求 HackerOne 加入核心平台的事情。 除此之外，公司的驱动力——也就是创立这家企业的黑客和联合创始人——被悄悄扔进了 HackerOne 的地牢。网站上把他们列为执行团队的一部分，但他们成了自己企业里的提线木偶，几乎无法参与他们从零打造的产品。 ## HackerOne 的“垃圾化”# (https://blog.teknogeek.io/posts/what-happened-to-hackerone/#the-enshittification-of-hackerone) 将近 10 年，Marten Mickos 一直担任 HackerOne 的 CEO。有些黑客喜欢 Marten；另一些人则感受复杂。就我个人而言，我和他的互动处于还不错到挺好之间。但我确实相信他对漏洞赏金充满热情，并在担任 CEO 期间为公司做了很多好事。 但在 2024 年底，Marten 被 Kara Sprague 取代，她是 F5 的前首席产品官（CPO）。你可能会问自己，一家网络公司的 CPO 对黑客和漏洞赏金了解多少？ 说实话，我也不确定。我要说的是，网上有一些关于她在 F5 担任 CPO 期间 BIG-IP 到底发生了什么的混杂信号 (https://www.thelayoff.com/t/1k42xseak)。 但这并没有阻止董事会认定她是公司未来的合适人选。而且，这既不是 HackerOne 一系列可疑商业决策中的第一个，也不会是最后一个。 随着 AI 智能体不断成长并演变成各种形态，HackerOne 的身份也开始转变。缓慢而稳定地，HackerOne 围绕一个新发明的行业类别重塑了自己：“CTEM”，即“持续暴露管理”（Continuous Threat Exposure Management）。 HackerOne 很快就变成了一家没有灵魂的公司，痴迷于数字、业务目标和 B2B 销售。他们从谈论漏洞赏金项目、实地黑客活动，以及如何帮你保持安全，转向推广他们的内部 AI 安全产品和持续安全监控工具。 等等，什么？什么内部 AI 安全产品？ ## 你的报告是你的，我们保证# (https://blog.teknogeek.io/posts/what-happened-to-hackerone/#your-reports-are-yours-we-promise) 有时候，一切都始于一条推文。 zseano 的推文2026 年 2 月，知名黑客`zseano`注意到 (https://x.com/zseano/status/2021118559275917616) HackerOne 员工离职人数激增，于是问为什么会这样。 这最终暴露出，HackerOne 更新了服务条款（ToS），使得提交到 HackerOne 上的报告可以被用于训练 AI 模型。 正如你所预料的那样，这引发了不小的骚动，尤其是在 HSP 聊天群里。我注意到的一点是，现代 HackerOne 只在需要控制损失时，才会让创始人走出地牢，而当时正是一个完美时机。 24 小时内，HackerOne 联合创始人、CTO（以及 CISO……？）Alex Rice 从地牢中现身，进行危机公关。（这是自 HSP 总聊天室两年前创建以来，他第一次在那里发言。） > 我们不会使用研究人员的数据来训练、微调或以其他方式改进生成式 AI 或大语言模型。这包括 Agentic PTaaS。https://docs.hackerone.com/en/articles/10908081-hai-security-trust 当被要求删除 ToS 第 3.1 节时，Alex 承诺这件事会得到处理，并会在即将到来的 ToS 更新中表述得更清楚。 一周之内，CEO Kara Sprague 也被拉了进来，并发布了一篇空洞的 LinkedIn 帖子 (https://www.linkedin.c