一位资深的漏洞赏金猎人兼项目经理认为，HackerOne 已经从其专注于服务黑客的“黄金时代”显著衰落。文章指出，由于风险投资的介入，该平台的重心从服务黑客转向了追求销售和利润，导致了平台功能停滞和用户体验下降。特别是，HackerOne 在 AI 技术上的应用引发了巨大争议，其在“不使用研究员数据训练 AI”的承诺与实际操作之间存在明显矛盾，严重侵蚀了社区的信任。最终，文章认为 HackerOne 已丧失其初心，并呼吁市场出现新的颠覆者。
HackerOne 的黄金时代
HackerOne 最初的使命是为公司和道德黑客创建一个安全的连接空间。在此之前，安全研究领域风险极高、法律上模糊不清，研究员甚至可能因报告漏洞而面临牢狱之灾。HackerOne 的出现改变了这一切，它让黑客可以获得公司的完全同意，在合法的前提下提交漏洞并获得报酬。
在 2017 年到 2020 年期间，HackerOne 尤其以其现场黑客活动（LHEs）而闻名。这些活动有几个特点：
- 高价值： 公司能在短短几天内收到比全年都多的高质量漏洞报告。
- 社区构建： LHEs 将全球顶尖的研究员聚集在一起，创造了一个前所未有的交流和学习环境，形成了紧密的社区。
- 专属体验： 独特的活动海报、纪念品、免费的全球机票和酒店，使得受邀参加 LHEs 成为一种荣誉和向往。
这些活动创造了一种超现实的氛围。你会被邀请飞往世界各地，与世界上最优秀的漏洞赏金猎人共度几天。
然而，这种以黑客为中心的繁荣景象逐渐开始改变。社区活动势头减弱，精心设计的活动海报变成了廉价的打印品，核心活动组织者也相继离职。
问题的根源：利润驱动
大约在 2020 年左右，HackerOne 开始面对一个根本问题：“我们如何赚钱？” 在成立的头十年里，HackerOne 几乎完全依靠风险投资（VC）生存，累计融资 1.6 亿美元。VC 的投入带来了对公司决策的间接控制。
这种转变是渐进的，但影响深远：
- 领导层变更： 创始 CEO 被一位企业背景的 CEO 取代。
- 商业模式转变： 从按赏金比例收费转向基于容量的年费合同，并将客户锁定在多年协议中。
- 重心转移： 公司重心不再围绕黑客，而是以销售为中心，目标是签订更多年度合同以获取可预测的长期收入。
销售团队被鼓励不惜一切代价签下新客户，而对老客户则通过大幅折扣换取长期合同。这种模式导致了各方面的体验下降。
全面衰退的后果
以销售为导向的策略给整个生态系统带来了负面影响：
- 分类团队（Triagers）： 最优秀的分类员（通常本身就是黑客）因薪酬低、工作量大而 burnout 并辞职。
- 黑客： 分类体验下降，平台充斥着大量低质量项目。
- 客户： 报告质量下降，成本却在上升。
- 平台： 核心技术停滞不前，用户界面陈旧，性能低下，几乎没有创新。
为了应对顶级黑客的不满，HackerOne 推出了“黑客成功计划”（HSP），为顶级黑客提供专属支持。然而，这在实践中创造了一个完全不平等的竞争环境，新黑客几乎没有渠道来解决问题或争取权益。这实质上形成了一个富者愈富的双层体系。
令人困惑的 AI 时代
随着 AI 和大语言模型（LLM）的崛起，HackerOne 本有机会利用这项技术来解决积压了十年的功能请求和平台问题。然而，他们选择了令人费解的方向——开发自己的 AI 助手“Hai”。
Hai 不仅是 OpenAI 的一个包装器，而且几乎没有任何独特功能来帮助黑客或项目方。
更令人失望的是，公司的创始人和核心黑客被边缘化，沦为自己公司的“傀儡”，几乎无法再参与他们一手打造的产品的开发。
“垃圾化”与信任危机
随着公司身份的转变，HackerOne 开始围绕一个新创造的行业术语“CTEM”（持续威胁暴露管理）进行品牌重塑，逐渐演变成一个痴迷于数字和 B2B 销售的没有灵魂的公司。
2024 年底，新任 CEO Kara Sprague 上任，她来自网络公司 F5，其背景与黑客和漏洞赏金相去甚远。这一系列决策标志着 HackerOne 的“垃圾化”（Enshittification）进程。
人们不禁要问，一个网络公司的首席产品官对黑客和漏洞赏金了解多少？
矛盾的承诺：AI 数据使用争议
真正的信任危机始于对 AI 数据使用的担忧。HackerOne 多次公开承诺不会使用研究员提交的报告数据来训练 AI 模型。
- 第一次承诺： 在社区发现服务条款（ToS）允许使用报告训练 AI 后，联合创始人 Alex Rice 出面进行损害控制，承诺“我们不使用研究员数据训练、微调或改进 GenAI 或大型语言模型”，并保证更新 ToS。
- 实际操作： 几个月后，HackerOne 的产品经理在 HSP 聊天中承认，一个名为
hackerone-agent的 AI 系统正在对所有报告进行初步审查，并“从行为中学习”，如果一个建议被拒绝，系统会将其考虑在内。 - 文字游戏： 当被追问这是否与承诺相悖时，HackerOne 的回应是，这不叫“训练”或“微调”，而是“将学习结果存储在我们的数据库中”以“增强代理的推理”。
这是一种没有实际意义的区别。系统仍然在从报告数据中学习，过去报告的结果会改变未来的自动化行为。无论你称之为记忆、检索还是上下文学习，对于研究员来说，这在功能上没有区别。
HackerOne 随后发布的博客文章更是公开宣称其“代理式 AI 系统 Hai 现在负责处理传入报告的初步分类、去重和验证”。
当顶级黑客在 HSP 聊天中集体表达失望和愤怒时，另一位联合创始人 Michiel Prins 也出面安抚，但其回应被认为是空洞的 AI 式公关说辞，并未带来任何实际改变。
最近，HackerOne 的新产品“持续测试”页面上再次出现“测试通过 HackerOne 12 年以上的真实漏洞数据和您之前的赏金发现进行打磨”的描述，再次引发争议。公司再次迅速修改措辞并进行解释，但这种“不小心说出心里话”的行为模式已让社区信任荡然无存。
最后的反思与呼吁
HackerOne 已经失去了其最初的价值观和核心身份。对于这场曲折故事中的各方，作者给出了最后的思考：
- 致 HackerOne： 希望你有一天能找回真实的自己，尽管这不太可能。
- 致创始人： 希望你们能高价退出，再去做一些很酷的事情。
- 致黑客： 了解你自身的价值。没有黑客，漏洞赏金平台将不复存在。
- 致公司： 你不再需要 HackerOne。构建自己的内部平台成本可能比支付 HackerOne 的一年费用还低。
- 致未来的颠覆者： 市场已经为颠覆做好了准备。工具就在你手中。去打造那个 HackerOne 本可以成为的样子。