事件经过
2026年11月4日，CSA发布了《自主渗透测试保障标准（APAS）》，这是一项规范性核心标准，定义了评估自主/智能体渗透测试系统结果是否可作为决策级证据的最低概念、要求和解释规则。它从七个维度表达渗透测试质量（覆盖保真度、发现有效性、证据可追溯性、修复可用性、可复测性、流程完整性、智能体完整性），针对独立的“独立表面基线”衡量覆盖率，区分执行自主性与协作/保障/依赖结果，对“已确认”发现以智能体独立复现为门槛，并要求完整性受保护的证据。它禁止将更高自主性、基准性能或低发现数量作为质量的替代指标，并声明APAS认证并不认证安全性、遏制能力或抗滥用性。发布核心文档“开启了认证路径”（APAS评估指南、配置文件注册表、证明模式及配套文档后续发布）。它交叉引用了OWASP早期阶段的《自主渗透测试标准（APTS）》，并通过PTES/WSTG/OSSTMM进行映射。
影响分析
自主和智能体渗透测试工具越来越多地被宣传为可替代人工测试人员，而购买方和审计师无法可靠地区分有界限、可验证的声明与营销语言。APAS是首批通过分离执行自主性与结果可靠性、要求独立基线覆盖测量和智能体独立发现复现来使这些声明可审计的标准之一。它创建了一个新的保障/认证层，安全团队、供应商和AI驱动攻击工具的评估者都需要理解；对供应商而言，它设定了如何声明自主渗透测试做了什么、在什么条件下以及有何证据的早期基准。
建议行动
对于评估或采购自主渗透测试平台的团队：使用APAS的七个质量维度和独立性/复现要求作为评估细则，并质疑供应商声明；对于供应商和评估者，在声称或接受APAS认证之前，跟踪评估指南/配置文件注册表/证明模式的发布。关注APAS与OWASP APTS的关系，以避免标准重复。