新东方安全应急响应中心（SRC）关于白帽子违规测试行为的处置公告

安全研究应有边界，技术探索更需遵守规则。新东方安全应急响应中心（SRC）始终欢迎广大白帽安全研究人员参与漏洞挖掘，共同提升集团网络安全防护能力。

近期，SRC 发现个别白帽子在漏洞测试过程中，使用 AI 自动化渗透工具开展测试，未对测试范围、执行频次及数据获取等关键环节进行有效约束，导致测试行为违反平台相关规范，并对生产环境正常运行造成实际影响。现将有关违规行为及处置结果公告如下：

01 违规事件及处置结果

涉事白帽子：Tt*******

违规行为

涉事白帽子在使用 AI 自动化渗透工具开展漏洞测试期间，未对测试行为进行严格管控，存在利用AI工具无人值守批量测试，拉取超量数据等违规行为，并造成生产系统异常的客观实际影响。

违规处置结果

综合考虑违规行为、实际影响及涉事白帽子在事件调查过程中积极配合排查等情况，SRC 决定：

1.对涉事白帽子予以警告；

2.取消本次违规测试涉及的全部漏洞奖励，相关漏洞报告不计入平台积分。

随着 AI 技术的发展，自动化工具在提升漏洞挖掘效率的同时，也带来了新的安全风险。AI 可以辅助安全研究，但不能替代测试人员对授权边界和安全风险的判断。

SRC 再次强调，所有白帽安全研究人员应严格遵守平台测试规范：

1.漏洞验证应遵循最小必要原则，严格控制数据获取范围和数量，严禁超量获取、批量导出或违规留存真实业务数据；

2.禁止利用漏洞开展内网扫描、横向渗透或其他超出授权范围的测试行为；

3.不得在生产环境开展可能影响业务正常运行的高风险测试；

4.测试过程中发现异常请求、不可控操作或可能影响业务稳定性的情况，应立即停止测试并及时向 SRC 反馈；

5.用 AI 或自动化工具开展辅助测试时，应确保测试行为处于人工监督和有效控制之下，不得因工具自动执行而突破平台测试规范。

有关漏洞测试范围、禁止行为及 AI 辅助测试的具体要求，请参阅以下平台规范：

对于违反平台测试规范的行为，SRC 将根据违规情节及实际影响采取相应处置措施；情节严重或造成重大影响的，保留依法追究相关责任的权利。

新东方 SRC 尊重并感谢每一位负责任的白帽安全研究人员。希望广大白帽子引以为戒，在授权范围内规范开展安全研究，共同维护安全、可信、有序的漏洞研究环境。

新东方安全应急响应中心（SRC）

2026 年 10 月10日