生产环境攻击性测试：先谈妥什么

XBOW 推出自主暴露管理（Autonomous Exposure Management）：以攻击者视角、无需源码与凭据，对企业整个外部应用资产并行发起测试，为每个发现附上可复现的利用证据。企业自有应用数量往往是渗透测试覆盖量的 3–10 倍，未被测试的应用并非低风险；AI 让软件产出与漏洞发现同时变便宜，证明可利用性成为把漏洞队列转化为处置决策的关键环节。

渗透测试、漏洞赏金与红队分别回答不同的问题：渗透测试在限定范围内验证应用、API 与基础设施能否抵御定向攻击并输出符合 OWASP/NIST 等标准的结构化报告，赏金计划借助全球研究者的持续探测发现长期涌现的漏洞，红队则检验组织能否察觉并响应真实对手的恶意目标；三者互补，跳过任何一层都会留下覆盖缺口。

53% 的美国 CEO 高度担忧网络威胁影响增长，2019 年数据泄露平均成本 390 万美元；NetSPI 借此论证 PTaaS 价值：人工渗透结合自动化、按月或按季度持续交付实时结果，取代一年一次的合规式测试。

Pixels 讲述如何借助 Borg 从定期渗透测试转向持续安全，覆盖其在线游戏、身份认证、API、链上奖励与开源发布等环节。

CVSS、EPSS 和 KEV 均围绕已公开的 CVE 设计，无法为自己应用代码中的租户边界缺陷、可重放审批逻辑等安全发现打分。本文给出在持续测试队列中为这类无 CVE 发现排定修复优先级的实用方法。

这篇内容为安全团队开展监测、验证和修复提供最新背景。