Platform Panel: Triage (HackerOne, Bugcrowd, Intigriti, Synack, YesWeHack) | BBV, DEF CON 33
三句話摘要
Bug Bounty平台如何进行报告分类（Triage）：确保公平、透明、人性化的审核流程。 优秀的Triage不是关于规则执行，而是流程持续改进、同理心沟通与人机协作的三角平衡。 流程优于个人是文化基础。各平台不评估triager个人能力，而是当发生错误时检视流程漏洞，通过不同人员进行二次审查确保客观性。这种做法防止了单点失败，让整个团队都能在迭代中进步，保护了团队文化。
重點整理
重點- 1
流程优于个人是文化基础。各平台不评估triager个人能力，而是当发生错误时检视流程漏洞，通过不同人员进行二次审查确保客观性。这种做法防止了单点失败，让整个团队都能在迭代中进步，保护了团队文化。
- 2
同理心是沟通的核心。Triager需要理解研究者花费数小时甚至数天寻找漏洞的投入，因此即使拒绝报告也要提供具体原因、改进建议，甚至是一句鼓励。Michelle强调曾被一个triager用"wow"回复报告，这简单的一个词足以鼓舞人心。
- 3
中立立场与透明理由。Triager既不代表客户也不倾向研究者，基于技术事实和政策进行客观评估。当遇到灰色地带时会寻求多方确认、提供充分理由，而非独断专行。即使决定必须延缓，保持沟通进度也比草率决策更重要。
- 4
AI是助手而非替代品。所有平台计划用AI辅助去重检测和流程自动化，但承诺保留人工审查在关键决策中。Bug Crowd的Michael指出AI还能帮助制定跨平台标准（过去13年都没有统一的scope标准），进而改善整体流程质量。
實用技巧與重點
乾貨- 平台规模与流程：
- Hacker One：约50个triager，包括intake analyst和senior analyst两层，24-48小时SLA
- Bug Crowd：11个国家分布式团队，客户经理、专科triager、全球1.5百万年度互动
- Platform Integrity/Yes We Hack/Senak：各自15,000+报告处理经验
- Triage关键步骤：
- 初审（检查重复/范围/垃圾）→ 去重检查 → 复现验证 → CVSS评估 → 改写摘要 → 发送客户
- 质量保障机制：
- QA：每周对所有triager抽样审查，不针对个人而检视流程
- 二次审查规则：所有appeal由不同triager处理；重大错误由跨团队审查
- 90天统计窗口：评估新triager只看最近90天表现
- Appeal专用流程：
- 由专门团队处理，可进行Zoom会议直接与客户验证，深度讨论而非简单复审
- Triager培养：
- 新人跟随senior triager数月进行shadowing
- 定期培训、CTF挑战、安全认证保持技能更新
- 内部知识库与回复模板维持一致性
- AI工具应用：
- 内部LLM（如High）辅助去重检测
- 分析pattern识别重复提交者或特定程序的申诉趋势
- 承诺最终决策由人工审查
- 行业协作：
- 五大平台间开始协作制定统一标准，确保跨平台体验一致
結論
結論“优秀的Triage不是关于规则执行，而是流程持续改进、同理心沟通与人机协作的三角平衡。”
完整解析
詳細Bug Bounty平台的Triage是确保研究者报告能被公平评估并获得合理回报的关键环节。这个小组讨论展示了五大平台（Hacker One、Bug Crowd、Platform Integrity、Yes We Hack、Senak）如何在大规模处理数千份报告的同时，维持透明性和公正性。
当研究者提交报告时，它首先进入intake阶段。Hacker One的intake analyst会检查报告是否为重复项、是否在范围内、是否为垃圾。通过初步筛选后，报告被转交给senior analyst或product security analyst，他们有24-48小时的SLA时限来完成复审。这一阶段包括验证清晰度、再次检查范围、尝试按步骤复现漏洞，必要时通过评论与研究者沟通。Bug Crowd的流程类似但更全球化——其triage团队分布在11个国家，由不同区域的经理管理，根据特定漏洞类型分配专科triager。Platform Integrity则更进一步，在程序启动前就与客户合作设计范围和规则，预防后续纠纷。
Triage工作的复杂性在于多重决策权衡。所有平台都强调一个根本原则："流程优于个人"。这意味着当发生错误时，管理层检视的是流程失效而非个人能力不足。更重要的是，每个appeal或重大决策都由不同的triager进行二次审查，某些情况下由跨团队人员审查，确保没有单个人能成为失败点。这种做法保护了团队文化，让每次迭代都能促进整体进步。
与研究者的沟通方式也在进化。Michelle（Hacker One的lead triager）强调，最优的Triage建立在同理心基础上。Triager应该像曾经的研究者一样理解投入——花费数小时甚至数天寻找漏洞的辛苦。当拒绝报告时，应提供具体理由、改进建议，甚至一句"wow"都能鼓舞人心。Senak的Eddie处理了15,000份报告未有一次被争执，他的秘诀是采用零售业学到的"先听、后对话"策略，通过政策澄清和灰色地带的协商达成共识。
关键的是保持中立立场。Triager既不代表客户也不站在研究者一方，而是基于技术事实和政策进行客观评估。当遇到灰色地带时（例如某个漏洞的CVSS评分），triager会寻求多方确认，提供充分理由而非独断专行。平台间也开始协作制定行业标准——这在10年前是不存在的——确保不同平台对同类漏洞的评估保持一致。
关于AI的未来，各平台态度一致：AI是流程助手，不是决策者。所有平台计划使用AI协助去重检测，让研究者在提交时立即了解是否为重复项，加快反馈速度。但没有任何平台会让AI自动拒绝报告。Jasmine明确承诺AI永远不会在她负责的范围内做自主决策；Michael指出AI还能帮助制定跨平台标准，因为过去13年都没有统一的scope标准定义，AI让这种规范化成为可能，进而改善整体流程质量。
關鍵時刻
Pipeline v2帶時間戳的重點，會在逐字稿層級分析上線後產生。目前請先透過原始影片觀看。
事實查核
Pipeline v2說法查證是下一次管線升級的一部分。KeyFrame 只會顯示它真正能驗證的內容。
