Intruder发布的一项调查显示，90%的安全和工程负责人认为，在代码快速发布的背景下，年度渗透测试已经过时。该研究调研了英美两国500名决策者。
报告指出，软件发布周期已超越传统安全测试速度。约68%的组织每天至少部署一次代码，37%每天多次部署。相比之下，47%的组织对Web应用程序和API进行全面渗透测试的间隔超过一个月，仅1%的组织在每次重大版本发布时进行测试。
这种节奏错位使许多团队暴露于风险之中。在依赖定期渗透测试的组织中，88%担心测试间隔期引入的风险；即便如此，仍有42%的组织在下次正式审查前，会在无额外安全检查的情况下继续发布代码。
AI测试普及与信任危机
随着开发提速，安全团队压力剧增。56%的受访者每周花费六小时以上处理误报或无法利用的发现，五分之一的人耗时超过11小时。此外，修复后的重新测试流程缓慢，近半数组织表示该过程可能长达两周，仅不到五分之一的组织能在修复后立即在生产环境独立重测。
在此背景下，基于人工智能的测试工具应用广泛。约92%的组织已尝试或全面使用AI渗透测试，其中55%已在整个环境中全面部署。
然而，用户对AI工具的担忧主要集中在运营和治理层面，而非测试质量。仅25%的受访者认为AI测试深度不及人类是主要障碍；更多人关注数据隐私（40%）、生产系统安全性（36%）以及监管机构对AI生成报告的接受度（28%）。另有46%的受访者指出，缺乏对测试内容的可见性或可重现的漏洞利用证据，是损害对AI渗透测试信任的最大因素。
Intruder创始人兼CEO Chris Wallis表示，软件开发和网络风险的转变已改变周期性测试的假设。“AI永久性地改变了进入生产的代码量及攻击者利用漏洞的速度，”他指出，“安全验证必须像代码构建流水线一样连续且自动化。年度渗透测试可能已经死亡，但对连续验证的需求从未如此迫切。”
中型市场承压与定义模糊
调查显示，拥有1000至4999名员工的中型组织承受着最大压力。其软件部署频率与大型企业相当，但安全团队规模更小。该群体进行每月至少一次渗透测试的比例最低（47%），半数组织选择在正式测试间接受风险并发布代码。
中型组织在AI渗透测试采用上参差不齐。虽然尝试比例与大型企业持平，但仅54%在整个环境中使用，低于5000至10000人规模企业的71%。仅4%的中型市场受访者表示在采用过程中未面临重大障碍。
研究还凸显了对“持续渗透测试”定义的困惑。尽管96%的组织将其列为重点，超三分之一声称已实现，但没有任何单一定义获得超35%受访者的认同。这意味着不同公司对测试覆盖范围和频率的理解存在显著差异。
地域和行业方面，美国组织使用AI渗透测试的比例（64%）高于英国（42%）。专业服务和金融服务行业领先，采用率分别为64%和63%，制造业仅为39%。值得注意的是，46%的金融服务公司每天多次部署代码，表明该行业正更快调整安全流程以适应现代开发实践。
本次研究由Censuswide独立进行，调研对象包括员工数250至10000人的公司中的500名安全和工程决策者，涵盖CTO、CISO、工程副总裁及DevSecOps负责人等角色。