PortSwigger为Burp Suite新增AI智能体，渗透测试进入人机协作时代

PortSwigger为其广泛使用的Burp Suite Professional平台新增了一款AI智能体，目前处于公开测试阶段。据Security Boulevard报道，这一发布旨在简化网络安全团队的攻击模拟流程。

Burp AT（即Burp Agentic Testing）让安全专业人员能够在Burp Suite现有工作流中部署AI智能体，自主调查线索、分析应用行为并发现漏洞，而不是替代人类测试人员——它的定位是扩展测试人员的产能，承担那些在项目中往往无人处理的高耗时调查工作。

据PortSwigger介绍，该智能体基于四项核心原则构建：智能体通过Burp久经考验的工具链行动，并利用项目上下文（包括流量、目标结构和先前发现）；由PortSwigger Research开发的专用渗透测试技能库为智能体提供结构化方法论；测试人员对自主性保持完全控制，可决定哪些自动执行、哪些需要审批、哪些保持阻止；作用域与权限边界在Burp工具层内强制实施，与底层AI模型架构分离，每一次请求与决策都有日志记录。

在封闭测试期间，一名渗透测试人员用Burp AT分析了66000行压缩后的JavaScript——这个任务在标准的四天测试周期内靠人工几乎不可能完成。智能体重建了代码中引用的隐藏端点与工作流，最终发现了一个PortSwigger称至少还会再搁置一年的严重漏洞。

PortSwigger把Burp AT定位为解决「信任问题」而非「能力问题」：前沿模型已经能形成假设、执行利用并解读结果，真正的挑战是确保自主性在专业测试中运行于可验证、可审计的约束之内。由于所有智能体动作都经由Burp Suite基础设施，测试人员能获得请求、响应与日志组成的可复现证据，而不是只依赖AI的自述。

创始人兼CEO Dafydd Stuttard强调，公开测试阶段是为了让真实世界的测试验证工具的可靠性——Burp Suite已经通过二十多年对真实应用的实战赢得了信任。目前Burp AT仅面向Burp Suite Professional用户，这是更广泛推广的第一阶段。

这一动向的背景是AI智能体正在渗透安全测试全流程：从发现线索、分析行为到利用漏洞，AI开始承担过去完全依赖资深测试人员的环节，而「人在环路」与可审计性成为产品设计的核心。

后续看点：PortSwigger计划为企业团队引入更多自主模式，包括在既定策略下进行更自主的测试并共享可见性与审计能力，同时保留人工主导测试作为长期运行模式——公测反馈将决定这一路线图的节奏。