Escape CTO：应用能过 DAST 扫描，仍可能存在可利用的业务逻辑漏洞
TechNadu · x · 2026-11-05
TechNadu 专家访谈中，Escape 联合创始人兼 CTO Antoine Carossio 指出，应用可以通过传统 DAST 安全扫描，却仍暴露可被利用的业务逻辑缺陷——攻击者以开发者从未设想的方式使用合法功能，操纵业务流程而不触发任何传统安全控制。
图中给出的例子：一个电商应用下单时发放积分、取消订单却不回收积分，攻击者可反复下单再取消，白白刷积分。每个 API 请求都合法，没有 SQL 注入或 XSS，缺陷在于应用处理业务流程的整体方式。他讨论了 vibe coding 对传统渗透测试的挑战，以及持续 AI 驱动测试为何需要严格护栏。
所属事件:Escape CTO：过了 DAST 扫描仍有业务逻辑漏洞(2 条相关)→
「编程与Agent」频道最新
- 用 Jev 搭邮件自动退订流程：结合浏览器上下文，一周后收件箱空前干净 — threepointone · 2026-11-05
- 不用 LLM 监控 LLM：Olki 用类型系统为 Agent 行为分类 — bigdata · 2026-11-05
- Coda 公式语言十年学习曲线反成优势：确定性 Agent 记忆运行时 — bfrench · 2026-11-05
- 开发者辞职用 AI 24 小时做出 3A 质感科幻 FPS,获大厂 Gamescom 展位 — Aiden_Tech_Ai · 2026-11-05
- JetBrains 发文回应「不再需要 IDE」论：智能体时代 IDE 是驾驶舱 — Sam_Witteveen · 2026-11-05
- tiny-llm 开源课程：在 Apple Silicon 上手写迷你 vLLM 推理引擎 — alexcovo_eth · 2026-11-05