随着大模型能力日益增强，利用AI工具辅助挖掘漏洞已成为安全研究的新趋势。近期，平台收到了一些由AI协助发现的高质量漏洞报告，但同时也面临大量未经人工验证的无效报告，甚至是被AI“幻觉”误导而产生的误报。

为了合理分配有限的审核资源，确保审核团队能聚焦于真实有效的漏洞，同时维护良好的社区生态，特此发布本公告，对AI辅助挖掘和生成的漏洞报告提交标准进行规范：

一、鼓励AI使用

马蜂窝SRC鼓励白帽子利用AI工具辅助挖掘漏洞，提升发现漏洞的效率，挖掘更多潜在的风险。

二、AI 测试违规，与本人同责

白帽子使用AI辅助漏洞挖掘时，应对AI测试目标、测试行为和测试频率等进行约束，禁止越权修改马蜂窝平台正常用户和业务信息，禁止批量读取平台和用户相关敏感信息，禁止传播和留存业务相关敏感数据，以及禁止其他违反《马蜂窝SRC安全测试规范》和法律法规的行为。AI测试违反以上规定，视为AI使用者本人违反规定。如对系统造成不可逆损害或对马蜂窝造成经济损失，马蜂窝有权追究AI使用者法律责任。

三、严格人工验证

对于AI辅助挖掘产出的漏洞报告，提交前务必进行人工验证。请确保您已完成对报告真实性与危害性的评估和复现，并在报告中详细提供人工验证结果，包括但不限于：

1.漏洞危害说明

2.详细复现步骤

3.完整的POC

4.关键步骤及结果截图。

5.可复制的代码或HTTP请求数据

四、无效报告处理

对于直接由AI生成、未经人工复现或未提供有效验证结果截图的报告，平台将直接予以驳回，且不提供驳回原因说明。

五、违规报告处置。

对于累计提交超过3个AI生成报告且未经上报者人工验证报告有效性的白帽子，平台将进行提醒；对于累计提交超过5个AI生成报告且未经上报者人工验证报告有效性的白帽子，平台有权封禁您的账号。

请所有参与测试的白帽子严格遵守规范要求，合规、合理使用 AI 工具，确保安全测试活动在授权、可控、可追溯的前提下开展，感谢各位白帽子的支持与理解。