IAST 创始人谈：用插桩技术自动化漏洞测试环节

NetSPI 管理总监做客 OWASP Portland 播客：渗透测试成功靠的是技术之外的「机敏」思维，各安全领域都存在人才短缺，与客户沟通结论时必须匹配受众的技术层级。

Agent of Influence 播客对话 ServiceTitan 信息安全负责人 Cassio Goldschmidt：安全框架没有万能模板，应用类型、合规要求、平台架构与编程语言都会影响软件开发的安全策略。

GE 的实践表明，没有任何自动化工具能发现人工流程所能发现漏洞的 35% 以上。作者主张将扫描器与熟练的人工测试结合，大幅提升检出率。

Burp Suite 推出新工具 Burp Infiltrator：通过对 Java 等 JVM 应用的字节码插桩，在调用危险 API 时检测 Burp payload 并经 Collaborator 域名回传通知，实现 IAST 风格的交互式安全测试。

SaaS 提供商面临 API 与多租户架构威胁上升；贯穿 SDLC、对齐 OWASP 与 PTES 的定期渗透测试可降低泄露风险，并支撑 SOC 2、ISO 27001、GDPR 与 HIPAA 合规。

API 直接暴露后端逻辑与敏感数据；针对性 API 安全测试可发现传统渗透测试容易遗漏的认证缺陷、数据过度暴露与访问控制问题。