2026-09-18 06:44:41 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

文章总结： Agent能力爆发推动SRC生态加速换血，新人绝对量显著增加但留存质量提升，老将群体整体退场且产出分化，平台通过AI报告规范构建筛选机制，纯体力挖洞贬值，人机协作与报告质量成为新价值锚点，生态呈现宽进严留难登顶特征。 综合评分： 92 文章分类： SRC活动,安全运营,安全培训,实战经验,数据安全

安全从业人员生存现状分析之SRC篇——Agent能力爆发后，是新人变多了，还是老人变强了？

原创

御林安全御林安全

御林安全

2026年9月16日 12:00 四川

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

声明：本文内容仅供学习交流，所有因传播利用文章内相关技术造成的不良后果均由使用者本人负责，与本公众号和文章作者无关。如需转载，请注明出处，未经作者允许不得随意删改本文内容。

数据窗口：2024年1月—2026年8月（重点对比2025年1-8月 vs 2026年1-8月同期）

数据来源：腾讯TSRC、百度BSRC、阿里先知（原ASRC）、美团MSRC、字节ByteSRC 五家平台公开排行榜

报告日期：2026年9月16日

一、TL;DR（核心结论）

答案是：两者都有，但都不是故事的全部——真正发生的是”换血加速”。

新人在绝对量上明显变多：五家平台中三家（腾讯+60%、字节+55%、美团+44%）上榜人数大幅增长，增量主要由历史首次上榜的新面孔贡献；腾讯的新人占比从53%升至60%。
老人没有整体变强，而是在加速退场：以”截至2024年末上过榜的老白帽”为池子观察，五家平台的老池上榜率全部下滑（阿里先知25%→16%、字节31%→22%、美团27%→19%）。2025年的上榜者，到2026年还在榜的只剩24%~40%。
老将的命运在分化：百度BSRC的留存老人人均积分同比+68%（工具化老手的红利样本）；而腾讯的留存老将人均产出-34.6%、月度前三分值占比从62%崩至35%——头部优势在部分平台正在瓦解。
产出结构在剧变，噪音也在暴涨：百度月均积分总量同比+111%（两年翻4.4倍）；腾讯在完整口径下总产出-12.7%，但月度前三的分值占比从62%崩至35%、第4名以后的产出+77%——总盘微缩、蛋糕重切；与之对应，2026年4月34家SRC联合发布《AI生成漏洞报告处置公告》，证实平台已面临”大量未经人工验证的无效报告、被AI幻觉误导的误报”。公告发布前，先知4月单月赏金冲到179万元（上年同期的4.4倍）；公告次月起，其月度赏金回落至上年同期的四至六成——平台闸门已经落下。

一句话总结：Agent降低了入场门槛（新人涌入）、放大了单兵产出（老将更强）、加速了中间层淘汰（换血加快）；平台方已开始用规则筛选”人机协作”，纯体力型挖洞正在贬值，人工验证与报告质量成为新的价值锚点。生态呈现”宽进、严留、难登顶”的筛选器结构：过客依旧匆匆，扎根者更扎实，而头部的门票越来越贵。

二、研究背景与问题

2025年被广泛视为Agent元年：自动化安全工具的能力在这一年出现跃迁（海外标志性事件：2025年年中，自动化渗透工具XBOW登顶HackerOne白帽榜首），2026年Agent安全能力进一步增强。国内白帽社区中”用AI挖洞”从话题变成日常操作。

一个自然的追问是：这波技术红利，到底流向了谁？

如果是”新人变多”——说明Agent降低了门槛，安全行业的外部供给在扩张，存量从业者面临稀释；
如果是”老人变强”——说明Agent是放大器，有经验的从业者凭借判断力和资产积累吃到红利，护城河加深。

SRC（安全应急响应中心）排行榜是国内观察这一问题的最佳公开窗口：它逐月记录了谁在挖洞、挖了多少。我们抓取了五家头部互联网企业SRC的全量排行榜数据（月榜+年榜），用同一套指标体系做同期对比。

三、数据与方法

3.1 样本与数据

* 阿里ASRC已于2024年5月迁移并入阿里云先知平台，旧ASRC总榜（3,004人）作为历史基线参考。

3.2 指标定义

上榜人数：期内月榜去重人数（1-8月口径）；
新人：在该平台全部历史数据（年榜+月榜）中首次出现在观察窗口的ID——注意这是平台内口径，其中约含8%~15%从其他平台迁移而来的老白帽（见3.3局限性第5条）；新人率=新人/当期上榜人数；
老池上榜率：截至2024年末（含2024年全年）出现过的全部历史ID中，当期仍在月榜上榜的比例——衡量”老人群体的整体活跃度”；
次年留存率：2025年1-8月上过榜的ID，在2026年1-8月再次上榜的比例；
月均产出总量：当期各月榜积分总和的月均值——平台整体产出的代理变量。各平台积分规则不同，仅做平台内同比，不做跨平台比较。阿里先知的积分（Points）规则在期内发生过变化、不可作产出度量，一律以赏金（TotalRewardMoney，元）衡量其产出。

3.3 已知局限

部分平台榜单存在展示上限——展示截断会系统性低估尾部新人的规模（结论方向不受影响，但幅度被低估）；
积分总量受运营活动（如618保卫战）与规则调整影响；
相关不等于因果：人数与积分的变化无法100%归因于Agent（经济环境、平台运营策略亦有影响），本文定位是”提供一个数据视角”；
跨平台白帽子：同一白帽子可能在多个SRC同时提交（如”小火炬””把剑渡长淮”等15个昵称在五家平台全部出现过）。经昵称匹配的下限估计：约12%的白帽子跨≥2个平台活跃，各平台”新人”中约7%~23%实为其他平台的老手迁移。该比例在2024→2026年保持稳定甚至小幅下降，因此对所有”2025 vs 2026同期对比”的结论方向无影响（两侧对称稀释），但意味着各平台新人率与退场率的绝对水平有约一成的稀释、老池”退场”中混有”平台间迁移”成分。四家强ID平台无法跨平台直接关联，本估计基于昵称匹配（改名者无法识别），为下限值。稳健性检验：将各年新人中可识别的迁移者剔除后重算，全部核心结论方向不变——新人率绝对水平下移约5~10pp（腾讯2026年60%→55%，”过半是新人”改为”约一半”）、老池”退场”中约一至两成实为平台间迁移（按迁移者视为在场修正后，老池上榜率上修2~3pp但下滑趋势不变）、生存分析3月存活率仍翻倍（6月存活率由2.5倍收窄至1.5倍）、冲顶率下降方向保持但2025→2026段降幅收窄。

四、发现一：参与规模——新人在涌入

2026年1-8月对比2025年同期，上榜人数变化：

解读：腾讯、字节、美团的参与池在一年内扩张了四到六成，且增量的大头是新人——腾讯新人绝对量接近翻倍（155→283）。百度的参与池基本持平，新人率稳定在54%——SRC生态的”新人占比过半”本身是常态（历史年榜新面孔率长期在52%~70%区间），2026年的特殊性在于新人的绝对量在头部平台显著放大。

五、发现二：新陈代谢——老人在加速退场，而非垄断

这是本次分析中方向最一致、也最反直觉的发现：

五家平台无一例外。”截至2024年末活跃过的老白帽”这个群体，2026年还在榜的比例全线收缩——老人没有抱团垄断榜单，而是在集体退场。叠加”次年留存率”（2025年上榜者2026年仍在榜的比例仅为24%~40%），可以确认：SRC生态的换血速度在2026年显著加快。

先知平台的长期视角给出了更结构性的证据（其历史数据经补采已回溯至2020年）：年榜新面孔率在旧平台末期（2023年）仅为26%——生态高度稳定；2024年平台迁移后跳升至50%，2025-2026年持续保持62%/55%的高位。平台迁移叠加Agent时代，让先知的新陈代谢率在两年内翻了一倍。

一个佐证性的花絮：阿里ASRC旧总榜的第一名，昵称是”SRC漏洞挖掘培训+VX：……”——当挖洞培训广告成为榜首ID，说明”入场培训”已经是门生意，侧证了新人涌入的规模。

六、发现三：产出放量与平台闸门——一场自然实验

6.1 上半年：产出暴涨

2026年1-8月月均积分总量对比2025年同期：

百度BSRC：+111%（2024→2025→2026年为13,094→27,273→57,644，两年翻4.4倍）
腾讯TSRC：-12.7%（59,158→51,636，完整口径）——但分解后结构剧变：月度前三的分值占比从2025年的62%崩塌至2026年的35%（前三月均30,342→18,199，-40%），而第4名以后的产出+77%（18,939→33,437）。总盘微缩、蛋糕重切：中腰部新人从头部老将手中夺走了近一半的月度分值
美团+6%、字节-1%、先知+1.4%（先知以赏金口径衡量：月均42.9万元→43.4万元。）

6.2 4月的转折：34家SRC联合公告

2026年4月23日，阿里云先知平台牵头，34家SRC平台联合署名发布《先知平台关于AI生成漏洞报告的处置公告》（署名方包括：阿里云先知、蚂蚁SRC、腾讯SRC、百度SRC、字节SRC、京东SRC、滴滴SRC、美团SRC、快手SRC、补天、360漏洞云、BUGBANK等）。公告原文的关键表述：

“近期，我们确实收到了一些由AI协助发现的高质量漏洞报告，但同时也面临大量未经人工验证的无效报告，甚至是被AI’幻觉’误导而产生的误报。”

处置规则：AI生成报告提交前务必人工验证（提供复现步骤/POC/截图）；未经人工验证的AI报告直接驳回；累计3个未验证AI报告予以警告，累计5个拉黑账号。

“我们深知AI技术正在深刻改变安全研究的方式与效率，但高质量的漏洞报告目前还离不开人的判断与责任感。”

四天后的4月27日，字节ByteSRC《AI生成漏洞报告提交规范》正式上线。这标志着平台方集体承认：AI批量提交已经成为审核资源的主要压力源，行业进入”人机协作筛选期”。

6.3 公告之后：积分应声回落

把先知（赏金口径）与字节（积分口径）的月度产出逐月拆开，能看到清晰的“冲高——设闸——回落”曲线：

字节：2026年1-3月积分冲到2025年同期的2~3倍（3月达15.8万分 vs 上年同期4.7万），4月27日规范上线后，5月仍高（13.4万），6月起腰斩（7.2万→6.0万→4.9万），显著低于节奏；
先知：4月（公告发布月）赏金达峰179万元（上年同期40.5万的4.4倍），公告次月起连续四个月回落，月度赏金仅为2025年同期的四至六成（5月31.4万 vs 52.4万、6月14.7万 vs 58.5万、7月11.6万 vs 28.4万、8月10.6万 vs 23.1万）；且上榜人数仍打满100人——闸门拦截的不是”人”，而是”未经验证的低质报告的赏金”。

需要说明的混杂因素：字节2025年6月有618保卫战冲量（33.9万分），活动周期会影响逐月对比；但先知5-8月连续低于上年同期、且回落起点精确对齐公告时间，”平台闸门生效”是最简洁的解释。

七、发现四：留存老将——红利的真正去向

在整体退场的老池中，留下来的人被显著放大：

百度是”老将变强”最极致的样本：留下的人人均产出暴涨近七成；与之对照，腾讯的留存老将人均产出暴跌34.6%——老将的命运也在分化，平台与工具选择的差异被急剧放大——这批人大概率完成了”经验+自动化工具”的融合，单兵效率倍增。而先知/字节留存老将人均积分下滑，与6.3节的闸门效应吻合：驳回规则压缩了所有人（包括老将）靠低质量/未验证报告刷出来的分值，剩下的才是真实产出。

百度年榜的长期视角也支持”扩张”判断：年榜人数从2015年263人增至2022年612人，2023-2025年稳定在450~470人，而2026年前8个月的积分总量已经超过2025年全年。

八、发现五：积分份额——老白帽的蛋糕被动了吗？

前四节用”人数”衡量参与结构，本节直接用积分份额（产出的归属）检验：老白帽子（该年之前曾在本平台上榜者）的总贡献值占全年总贡献值的比例，是否在下降？

长期趋势（年榜口径）：答案是否定的——长期看老白帽的积分占比是上升的。腾讯TSRC从2013年的49%一路升至2019-2024年的70%~80%区间；百度BSRC从2016年的47%升至2023年的85%。这是SRC生态成熟期的正常沉淀：幸存者经验积累、产出集中。

2025-2026年的新变化是平台分化（严格同期口径：1-8月月榜积分累计，消除年榜未满年的偏差）：

（年榜口径同方向且更剧烈：腾讯2025年83.7%→2026年61.2%，单年暴跌22.5pp；百度71.4%→76.2%→82.1%走高；先知2026年榜YTD为71.9%。补齐前三名后，腾讯年榜与月榜加和已完全一致，口径统一。）

解读——两种生态模式在Agent时代并存：

1.腾讯模式：”新人冲击”。老占比下滑最剧烈的平台（同期口径-24.4pp、年榜口径-22.5pp）：新入场者在2026年1-8月拿走了39%的积分份额（2025年同期仅15%）。结合腾讯上榜人数+60%、新人翻倍、月度前三分值占比从62%崩至35%，这是一次实质性的”份额转移”，而不只是人多凑热闹。

2.百度/美团/字节/先知模式：”老将加固”。老人积分份额不降反升（+4.0~+12.6pp，先知赏金口径+12.6pp为五家最大）——新人数量在涨，但拿走的分值份额在缩水。产出进一步向存量老手集中，”人多而不强国”。

3.与平台闸门的呼应：先知与字节在2026年4月底出台AI报告规范后，老占比加速上行（先知赏金口径+12.6pp为五家最大）——驳回未人工验证的AI报告，客观上压缩的主要是新人的低质产出份额，保护了存量老人的利益。平台治理在这场份额再分配中站在了”经过验证的产出”一边。

回到用户视角的结论：老白帽的蛋糕并没有普遍被切走——在4/5家平台上反而更大了；真正被冲击的是腾讯系生态。对新人而言，”上榜”容易了，但”拿到份额”在多数平台反而更难了。

九、发现六：新人生存与冲顶——宽进、严留、难登顶

发现五回答了”份额归谁”，本节回答两个后续问题：涌入的新人是泡沫还是真实从业者（生存分析）？他们冲进头部的速度变快还是变慢了（冲顶速度）？

方法：以2024/2025/2026年新人队列（首次出现在当年1-8月月榜、此前无任何记录：n=887/881/973，5平台合并）为样本，观察首次上榜后8个月窗口。生存分析用Kaplan-Meier（严格连续在榜口径，断月即事件，数据末端按删失处理）；冲顶速度用KM式累计发生率（事件=首次进入月榜Top10）。

新人生存：过客率不变，扎根质量翻倍

三个队列的次月存活率三年基本持平（约18%~20%）——每批新人的八成始终是”一月游”过客，2026年也不例外，Agent没有改变入场者的基数流失。但2026队列的3月存活率翻倍（3.4%→6.7%）、6月存活率提升至2.5倍（1.2%→3.0%；剔除跨平台迁移者后为1.5倍，方向不变）（log-rank 2025 vs 2026：χ²=3.8，p<0.06，边缘显著）：能熬过最初筛选的新人，持续在榜的韧性显著更强。2026年的新人是”更极端的双层结构”——过客依然匆匆，扎根者更加扎实，这与”纯AI提交泡沫”的简单叙事相反。

冲顶速度：头部的门在收窄

新人冲顶率两年腰斩（16.7%→9.0%），”首月即冲进Top10″的比例降至约三分之一（10.6%→3.3%）。Agent并没有普遍加速新人的成长曲线——相反，头部对新人的大门在整体收窄。但分平台呈现与发现五完全互洽的分化：

参与池扩张、新人切走份额的平台（腾讯/百度/美团），新人冲顶同步变易；而出台AI报告规范的平台（先知/字节），新人冲顶率反而下降——平台闸门在压缩低质AI产出的同时，也客观上提高了新人的登顶门槛，头部进一步让位于经过验证的存量老手。

发现五+发现六的完整故事：份额变了（腾讯被新人切走、其余平台老将加固）→ 新人不是泡沫（过客率不变、扎根者韧性翻倍）→ 但登顶变难（冲顶率腰斩，且AI规范平台收窄最狠）。Agent时代的SRC生态是一个”宽进、严留、难登顶”的筛选器：入场空前容易，八成过客被自然淘汰，能扎根的新人质量更高，而头部的门票越来越贵——要么带着工具化的效率（老将路线），要么经过严格的人工验证（新人路线）。

十、回答核心问题

“新人变多了，还是老人变强了？”——数据给出的答案是四个并行的事实：

新人变多（且是绝对量的暴涨）：头部平台参与池一年扩张44%~60%，腾讯新人翻倍。Agent把”能提交一个漏洞报告”的门槛降到了历史最低点。
老人整体没有变强，反而在加速离场：老池上榜率五家全线下滑，次年留存率仅四分之一到五分之二。曾经的中坚层正在被”更便宜的新人+更高效的头部”从两端挤压。但积分份额并未随之流失（发现五）：除腾讯外，老白帽的积分占比在2026年反而更高——退场的是尾部老人，加固的是头部老人。
变强的是极少数完成工具化转型的老将：百度留存老将人均+68%就是这批人的画像——经验（知道挖哪里）×自动化（挖得快）×判断力（报告能过审）。
新人不是泡沫，但登顶变难（发现六）：2026年新人八成仍是过客，但扎根者的中长期存活率成倍提升（3月存活率翻倍）；而冲进Top10的比例两年腰斩（16.7%→9.0%），且在出台AI报告规范的平台收窄最狠。

因此，对”Agent能力增强对安全从业人员的处境是好是坏”，本文的回答是：

对头部老手：是好消息。他们的判断力和经验被工具放大，单兵产出创历史新高；平台规则（人工验证要求）反而帮他们过滤了低质竞争。
对中间层：是坏消息，且是最坏的位置。纯执行型技能（手工扫漏、模板化报告）贬值最快，他们既没有新人的成本优势，也没有头部的能力壁垒，正在被挤出榜单。
对新人：是双刃剑。入场从未如此容易，但”上榜”的含金量也在同步稀释——积分通胀、驳回率上升、账号拉黑风险，都是门槛的另一种形态。能熬过首月筛选的人韧性显著增强（3月存活率翻倍，见发现六），但冲进头部的概率两年腰斩。平台已经明说：AI挖到的洞，只有经过人的验证才算数。
对行业：生态位在重构。”挖洞执行”的价值在下降，”验证、判断、报告质量、业务逻辑理解”的价值在上升。这和Agent对其他技术工种的冲击路径一致：它淘汰的是任务，不完全是人；但执着于旧任务的人会被淘汰。

十一、后续工作

覆盖2026年9-12月数据，观察”闸门”的长期效果与年度榜全景；
补充海外对照（HackerOne在XBOW事件后的榜单结构变化）；
结合各平台积分规则变更做更细的归因。

附录A：主要数据表

同期对比总表（2025年1-8月 → 2026年1-8月）

老白帽积分占比（严格同期口径：1-8月月榜累计）

百度BSRC年榜长期趋势（年榜人数/新面孔数）

*本报告数据均来自各平台公开排行榜页面，采集过程限频合规。分析结论为数据视角的观察，不构成职业建议。*

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：御林安全御林安全御林安全《安全从业人员生存现状分析之SRC篇——Agent能力爆发后，是新人变多了，还是老人变强了？》