Introducing Interactive Pentesting: Human Experts Augmented With IAST

本文破除应用安全四大迷思：AppSec 团队可有可无、组织太小不需要、DevOps 模式不适用、安全会拖累交付。成功的应用安全之旅始于集中治理团队与缺陷发现机制，更安全的应用性能与质量也更佳。

基于一整年胖客户端应用渗透测试的统计，NetSPI 梳理十大高危发现：明文存储凭据、源代码中硬编码的凭据与加密密钥，以及使后端数据库暴露于风险的两层架构设计。

讨论 Web 应用测试的正确力度：对稳定运行的复杂应用反复做低强度扫描价值有限，测试应跟随发布周期，并侧重业务逻辑错误等应用特有缺陷的深度人工评估。

NetSPI 顾问撰文指出，行业过度聚焦应用安全而忽视其他风险：其渗透测试中 90%–95% 都能通过薄弱的网络与系统配置拿下整个环境，数据库配置、嵌入式口令与信任关系问题普遍，社工与物理渗透依然是最容易的突破口，主张多层综合测试。

最终写进事故复盘的安全问题，在引入它们的 PR 里很少显得危险——不是谁粗心，而是改动本身看不出问题：代码按字面意思工作，毛病出在应用运行后的行为上。ProjectDiscovery 指出 LLM 代码审查在实测中精度仅约 63%，主张对 PR 补充针对运行中应用的行为验证。

文章援引 Gartner《Innovation Insight: PTaaS》报告：传统渗透测试频率与速度不足，PTaaS 通过自动化与专家结合提供持续可扩展测试，与 CTEM 及 DevSecOps 对齐；预计到 2028 年采用者修复周期将缩短一半。