永不眠的安全团队：0.security 与年度渗透测试的终结

0.security 在 Y Combinator 2026 秋季批次中，提供一支自主安全团队：拉取请求测试、持续渗透测试，并在同一个 PR 中交付修复。其赌注在于，AI 如今编写代码的速度已快于年度审计能够检查的速度——而难点在于验证环节，而不是扫描。

安全测试一直按日历进行。每年一次，有时两次，外部公司会花一周时间对应用进行测试，写一份报告，然后团队花一个季度逐项处理。等到最后一个发现被关闭时，底层代码库已经变了。

这种模式假定软件变化缓慢。现在已不再如此。使用编码智能体的团队一周内就能交付过去需要一个季度才能完成的内容，而其中每一项变更都是一个新攻击面。年度测试现在描述的是一个已不复存在的系统。

0.security 是 Y Combinator 2026 年秋季批次（F26）中针对这一缺口而建立的公司之一。它的描述很直白：一个自主网络安全团队。该产品会对拉取请求运行安全测试，对线上系统持续进行渗透测试，监控依赖项以防范新披露的漏洞，而且——商业上最关键的部分——在同一个拉取请求中交付修复方案，一键即可应用。

为什么验证步骤就是整个产品

扫描很便宜，而且十年来一直如此。从来都不便宜的是，知道哪些告警真正重要。一个报告两百条发现、其中一半是错的扫描器并不能降低风险；它消耗的是那个本可以修复真正问题的人的注意力。

所以，这里有趣的说法并不是 AI 能发现漏洞，而是 AI 可以被用来证明这些漏洞。0.security 表示，智能体会在隔离环境中复现发现结果，并在提交修复前验证修复，而这就是它过滤误报的方式。如果这一点成立，它就会把工作单元从“一份待分诊的报告”变成“一个待审查的补丁”。

该公司的公开研究是其赖以为据的证据。其网站列出了在 Linux 内核以及一长串厂商技术栈中披露的漏洞——AMD、Qualcomm、Cisco、Arm、Google、Meta、IBM、NVIDIA、Intel、Red Hat——并附有安全工程师所认可的那种审查记录。它还将其测试框架作为开源发布，并称有超过 30 亿台设备运行着它帮助保护安全的软件。这些是公司声明，并非经独立审计的数字，但披露链接的可核查性通常是营销文案所不具备的。

没人要求的军备竞赛

令人不安的背景是，另一方也具备同样的能力。攻击者利用模型阅读代码、发现弱点并编写漏洞利用程序，其速度与防御者如今利用模型修补这些弱点的速度一样快。一家在工程中采用 AI、却仍只保留年度安全审查的公司，只实现了这个等式一半的自动化。

这就是用一句话概括持续测试的理由：如果代码每天都在变，安全态势就必须每天评估，否则你交付的内容与你检查过的内容之间的差距每周都会扩大。

买家仍应追问什么

三个问题，且没有一个与模型质量有关。

谁来对结果负责？ 一个只提交发现项的工具是扫描器。一个会修补代码的工具是在对生产系统做出更改，公司内部必须有人为这一决策负责。在一家没有安全高管的公司里，这个负责人通常是缺位的——而这正是让兼职 CSO 值得留用的同一个缺口。

我们的代码误报率是多少？ 要求针对一个你已知存在缺陷的代码库进行试用。声称经过验证很容易，证明起来却代价高昂。

当模型朝另一个方向出错时会发生什么？ 漏掉漏洞比误报更糟，而且没有厂商会保证召回率。

0.security 尚处早期：一家 2026 年秋季批次的公司、一支小团队，以及一些将由客户而非新闻稿来检验的说法。但这个论证的框架是对的，而且这正是整批公司共同指向的框架——AI 以机器速度制造问题，因此响应也必须以机器速度运行。

年度渗透测试之所以消亡，并不是因为它不好。它之所以消亡，是因为它所描述的是一个早在二月就已不复存在的代码库。

来源：Y Combinator F26 公司列表、0.security 的公开网站及研究披露，2026年11月。公司相关说法均按来源归属。

联系：[email protected]

请注意，中文版本是由 AI 辅助翻译的，因此可能存在细微错误。

作者

Ai-Banking-NetworkSecurity (ABN), ABN ASIA由具有深厚学术背景的人员创立，他们在美国、荷兰、匈牙利、日本、韩国、新加坡和越南等国家有工作经验。ABN Asia是学术界和技术相遇的地方。凭借我们领先的解决方案和优秀的软件开发服务，我们帮助企业提升水平，走向全球舞台。我们的承诺：更快。更好。更可靠。在大多数情况下：也更便宜。

无论您需要IT服务、数字咨询、现成软件解决方案，还是想向我们发送招标要求（RFPs），都请随时与我们联系。您可以通过[email protected]与我们联系。我们随时准备为您提供所有技术需求的帮助。

© ABN ASIA