2025 年渗透测试现状：为什么 AI 驱动的安全验证成为战略性必备

Pentera 发布的 2025 年渗透测试现状调查报告 描绘了一个令人震惊的网络安全格局，这个格局正在迅速演变。这不仅仅是一个关于防御数字边界的故事，而是一个关于企业如何转变其安全方法的蓝图，这种转变是由自动化、基于 AI 的工具和现实世界威胁的不懈压力驱动的。

尽管安全栈越来越大，漏洞仍然存在

尽管部署了越来越复杂的安全栈，67% 的美国企业在过去 24 个月内报告了漏洞。这并不是一些小事件——76% 报告了对数据机密性、完整性或可用性的直接影响，36% 经历了计划外停机，而 28% 面临了财务损失。

相关性是明确的：随着安全栈的复杂性增加，警报和漏洞也增加了。使用超过 100 个安全工具的企业平均每周收到 3,074 个警报，而使用 76-100 个工具的企业每周面临 2,048 个警报

然而，这种数据的雪崩往往会让安全团队感到不知所措，延迟响应时间，并允许真正的威胁悄悄地溜过去。

网络安全保险正在塑造技术采用

网络安全保险商已经成为网络安全创新意外的驱动力。令人惊讶的是，59% 的美国企业在其保险商的要求下实施了新的安全工具，93% 的 CISO 报告说保险商影响了他们的安全态势。在许多情况下，这些推荐不仅仅是关于合规性——它们塑造了技术战略。

基于软件的渗透测试的崛起

手动渗透测试不再是默认选择。超过 55% 的组织现在依赖于内部程序中的基于软件的渗透测试，另外 49% 使用第三方提供商。相比之下，只有 17% 仍然仅依赖内部手动测试。

这种转向 自动对抗测试 反映了一个更广泛的趋势：在威胁不断演变的时代，需要可扩展、可重复和实时的验证。这些自动化平台模拟从无文件恶意软件到权限升级的攻击，允许企业持续不断地评估其恢复能力，而不会中断。

安全预算正在迅速增长

安全性并没有变得更便宜，但是组织仍然将其放在首位。平均年度渗透测试预算为 187,000 美元，占总 IT 安全支出的 10.5%。规模较大的企业（10,000 名以上员工）每年支出甚至更多——平均为 216,000 美元。

在 2025 年，50% 的企业计划增加其渗透测试预算，47.5% 预计其总体安全支出将增加。只有 10% 预计投资将减少。这些数字凸显了安全性从运营必要性升级为董事会优先事项的过程。

安全测试仍然在赶上

这里有一个令人惊讶的脱节：96% 的企业报告每季度至少发生一次基础设施变化，但只有 30% 的企业以相同的频率进行渗透测试。结果是新的漏洞通过未经测试的更改溜过去，扩大了每次软件推送或配置更新时的攻击面。

只有 13% 的拥有 10,000 名以上员工的较大企业每季度进行渗透测试。同时，几乎有一半的企业仍然每年只测试一次——在今天的动态威胁环境中，这是一个危险的滞后。

风险对齐比以往任何时候都更为敏锐

令人鼓舞的是，安全领导者正在将测试集中在实际发生漏洞的地方。近 57% 的企业优先考虑面向 Web 的资产，其次是内部服务器、API、云基础设施和 IoT 设备。这一对齐反映了人们日益增长的认识，即攻击者不会区分他们攻击的漏洞——他们会利用整个攻击面上的任何可用的漏洞。

API尤其已成为攻击者和防御者都优先考虑的目标。这些接口对于业务运营日益重要，但往往缺乏可见性和标准监控，使其容易被利用。

使渗透测试结果运营化

渗透测试报告不再被搁置。一旦发现漏洞，62% 的企业立即将结果转交给 IT 部门进行漏洞修复优先级排序，47% 的企业将结果与高级管理层分享，21% 的企业直接向董事会或监管机构报告。

这种转向行动的变化反映了渗透测试与战略风险管理的更深入集成——不仅仅是合规性检查。安全验证正在成为业务对话的一部分。

什么阻碍了更快的进展？

虽然趋势线是积极的，但仍存在关键的抑制因素。更频繁的渗透测试的前两个障碍是预算约束（44%）和可用渗透测试员的缺乏（48%）——后者反映了世界经济论坛报告的全球 400 万网络安全专业人员短缺。

运营风险，例如测试期间停机的恐惧，仍然是 30% 的 CISO 的关注点。

从合规义务到战略武器

渗透测试已经远远超出了其作为监管要求的起源。今天，它支持战略计划，包括并购尽职调查和高管层面的决策。近三分之一的受访者现在将“高管命令”和“为并购做准备”列为进行渗透测试的主要原因。

这标志着一个根本性的转变：从被动的检查到主动和持续的网络安全恢复力度量。

最后的思考

Pentera 发布的 2025 年渗透测试现状调查报告 不仅仅是一个状态更新——它是一个警钟。随着攻击面不断扩大，威胁行为者变得更加复杂，组织不再能够接受缓慢、手动或孤立的安全测试方法。基于 AI 的、基于软件的渗透测试正在通过速度、规模和洞察力填补这一空白。

在这个新时代中，能够蓬勃发展的组织将是那些将安全验证不仅视为技术必要性，而视为战略要务的组织。

为了获取更多见解，请从 Pentera 下载完整的 2025 年渗透测试现状调查报告。