Intigriti

定义

Intigriti 是一家众包安全测试服务提供商，运营主体为注册在比利时的公司，总部设在安特卫普^[1][7]。它的核心产品是面向企业的漏洞赏金(漏洞赏金)项目与漏洞披露政策(漏洞披露政策)项目：企业划定测试范围与奖励标准，研究者提交发现，平台负责组织、验证并把结果转交企业^[8][9]。该平台按安全研究者的工作场景搭建，社区由来自各地的道德黑客组成^[10][3]。

除赏金与披露项目外，平台还提供渗透测试即服务(渗透测试，PTaaS)、在限定时间内集中测试的现场黑客活动，以及面向学术研究的 Fastlane 项目^[10][7]。其内部设有分类团队，负责与研究者的沟通、漏洞报告的验证与复现，并为企业补充影响说明与可行的修复建议^[4][10]。

原理

平台的运转依托客户给出的授权范围。企业把待测的网站、应用或基础设施登记为项目并设定悬赏额度，研究者在授权边界内寻找缺陷并提交报告；平台的分类团队先行验证与复现，再把确认的问题转给企业，由企业修复并按漏洞影响支付奖金^[3][4][11]。

按披露方式不同，项目分为漏洞赏金与漏洞披露政策两条路径：前者以奖金激励研究者并通常设定公开或私有的测试范围，后者主要用于尚未开设付费项目的组织建立规范的漏洞接收与公开流程^[8][9]。平台还借助机器学习，把研究者的技能特征与项目需求匹配起来，以提高项目活跃度^[10]。

Fastlane 项目允许研究者在学术成果公开发表之前，先把其中涉及的新漏洞信息提供给平台客户，研究者因此获得奖励^[10]。平台的分类团队通常在 1 小时内回复研究者提出的问题，以缩短报告在平台内的流转时间^[4]。

发展历程

Intigriti 于 2016 年成立，创始人为当时从事网络安全咨询与创业的 Stijn Jans（斯蒂安·扬斯），公司总部设在比利时安特卫普，早期团队规模很小^[1][12]。公司成立后在比利时与英国均设有办公地点^[13]。

2018 年 10 月至 2019 年 3 月，公司以“The Ethical Hacking Platform – Sharing Economy for Security Testing”为名执行了一项欧盟 Horizon 2020 中小企业计划项目，欧盟方面出资 5 万欧元^[11]。2019 年，平台与欧盟委员会的 EU-FOSSA 2 计划合作，为 Drupal、Apache Tomcat、VLC、7-Zip、KeePass 等开源软件组织漏洞赏金^[2]。

2020 年 6 月，公司完成 414 万欧元 A 轮融资，由欧洲风投机构 ETF Partners 领投；当时平台已连接来自 130 个国家的约 1.5 万名研究者，客户数超过 75 家^[12]。同年，公司在德勤比利时 Rising Star 评选以及 Data News 的网络安全创新者评选中获奖^[14]。

2022 年前后，平台上线渗透测试即服务项目，随后又推出 CrowdRecon 等新服务^[15]；公开资料显示，公司在这一时期获得了约 2100 万欧元的新一轮融资^[2]。到 2024 年，平台收到的漏洞报告来自 180 多个国家^[10]；行业媒体的报道提到其社区规模已超过 12.5 万名安全研究者^[5]。

应用

企业使用该平台的主要场景是对自有应用、接口与基础设施开展持续的众包安全测试，形式包括长期赏金项目、漏洞披露政策、渗透测试即服务以及为期数日的现场黑客活动^[7]。公开资料提到的客户包括微软、英特尔、红牛、可口可乐、Ubisoft 等跨国企业，也有 Visma、Showpad、DPG Media 等规模较小的公司^[5][16][7]。

公共部门与开源项目是另一类用途。2019 年该平台被用于欧盟委员会的 EU-FOSSA 2 计划，测试 Drupal、VLC 等使用广泛的开源软件^[2]；此后欧洲委员会开源项目办公室又通过该平台发起面向 LibreOffice、Mastodon、Odoo、CryptPad 等软件的赏金活动，奖金总额为 20 万欧元，单个漏洞最高奖励 5000 欧元，若研究者同时提交修复代码另加 20%^[6]。比利时的国家网络安全中心也与其合作，发布了面向道德黑客的法律框架^[2]。

平台自身也运营赏金与零日项目：前者用于接收针对平台本身的漏洞报告，后者鼓励研究者报告影响该公司或其客户、且尚未公开的漏洞，并设有向受影响厂商报告后须等待的冷静期要求^[17][18]。

局限

作为众包测试服务，平台的价值来自研究者的自愿参与，企业得到的报告内容与提交时间取决于社区投入，平台自身也说明其软件同样存在缺陷，并欢迎外部研究者报告^[17]。对研究者而言，可承接的目标数量受平台项目规模影响：该平台运行的项目少于 HackerOne 与 Bugcrowd，选择面相对有限，但对应的分类团队对具体项目更熟悉^[19]。

流程上也有约束。漏洞报告必须先经平台分类团队验证才会转交企业，企业仍需自行安排修复，众包测试因此不能替代完整的安全开发流程^[4][11]；赏金也只对经验证的发现支付^[3]。零日类项目要求研究者先向受影响厂商报告，并在冷静期结束后才能提交^[18]；Fastlane 的提前知情权同样以学术研究尚未公开发表为前提^[10]。

在合规取向上，平台强调法律保护、GDPR 合规与 CREST 认证，并把数据托管在欧洲，其市场定位偏向受欧盟监管要求约束的机构^[16][5]。

参见

• 漏洞赏金 —— 以奖金激励安全研究者报告漏洞的做法，是 Intigriti 的核心业务。

• 漏洞披露政策 —— 平台提供的另一类漏洞接收与公开渠道。

• 道德黑客 —— 构成平台社区并执行测试的研究者群体。

• 渗透测试 —— 平台以众包方式提供的另一类安全测试服务。

• HackerOne —— 美国漏洞赏金平台，与 Intigriti 属同类竞争者。

• Bugcrowd —— 另一家同领域的众包安全测试平台。