导语：这轮不讲新工具，讲三场正在海外技术社区持续发酵、但中文圈几乎没人系统拆解过的争论：AI白帽公司登顶漏洞赏金榜，人工黑客圈吵翻了饭碗和规则；平台开始给AI Agent发「身份证明」，CAPTCHA黄昏论甚嚣尘上；仓库里悄悄多出的AGENTS.md，让「给AI写规矩」变成一门显学。三件事的共性是：它们都在改写「人和AI分工的接口标准」——谁先看懂，谁先占位。文中关键数据均标注披露方，执行前请以官方最新公告为准。
事件背景：据TechCrunch等多家媒体2025年年中报道，主打AI自动化渗透测试的公司 Xbow 在全球最大的漏洞众测平台 HackerOne 的美国区排行榜冲到第一，短时间提交的有效漏洞报告数以百计——排行榜前排第一次被AI系统而不是人类白帽占据。更大的舞台紧随其后：DARPA主办的 AIxCC（AI网络安全挑战赛） 2025年8月在DEF CON决赛，多支队伍的AI系统在真实开源软件中找出了此前未知的漏洞（部分拿到了CVE编号），冠军队伍按赛制带走400万美元奖金（据DARPA公告）。HackerOne自己后来发布的行业报告，也把「AI提交报告激增」列为赏金行业最大变量。
效率派观点（HN和X上的主流声音）：漏洞挖掘本质是大规模穷举+模式识别，这正是模型的舒适区。AI把渗透测试从「按周计费的外包」压成「按小时出结果的流水线」，中小企业第一次付得起像样的安全检测。Xbow证明了商业闭环：找到洞→写报告→收赏金，全程机器为主、人做校验。
饭碗派观点（白帽社区一片焦虑）：人类赏金猎人的价值正在从「找洞」迁移到「分诊（triage）和利用链构造」。上图这个新流水线里，机器负责海量初筛，人负责验证真伪、构造攻击链、写让厂商信服的报告。更现实的问题是：平台被AI报告淹没，重复提交和误报暴增，平台方已经开始为AI提交设专门通道和规则——「用AI挖洞」和「用AI交作业」的边界，正在被平台规则重新划定。
责任派观点（安全研究者的冷思考）：自动化让挖洞成本趋近于零，意味着漏洞从发现到流入灰色市场的周期也在缩短。防守方拿AI找洞，攻击方同样拿AI找洞，这是个不对等的军备竞赛——企业预算永远慢半拍。
对中国用户的启示：国内SRC（企业安全应急响应平台）同样会出现AI批量提交，白帽子的机会窗口在「AI找不到的深度」：业务逻辑漏洞、多步利用链、供应链攻击面。企业侧的操作是：把自动化渗透工具（如Horizon3的NodeZero、Pentera这类）纳入常态巡检，把人工预算从「例行扫描」转投「红队深挖」——行业分工正在重新洗牌，先看清再花钱。
flowchart TD
A["人工圈定目标资产"] --> B["AI批量侦察与初筛"]
B --> C{"机器标记可疑点"}
C -->|是| D["人工验证与利用链"]
C -->|否| E["换角度重扫"]
E --> B
D --> F["写报告提交平台"]
F --> G{"平台人工分诊"}
G -->|有效| H["评级发赏金"]
G -->|重复或误报| I["驳回并记录"]
I --> J["调整策略再战"]
J --> B
事件背景：AI Agent要替你干活，就得访问网站和API，于是撞上了人类互联网几十年的老问题：你怎么证明自己不是机器人？ 事情正在起变化，动作最快的是Cloudflare——据其官方博客，2024年7月上线「一键封锁AI爬虫」开关；2025年7月把「付费爬虫（Pay per crawl，基于HTTP 402状态码）」推进私测，让爬虫可以付费换通行证；同年开始试点用密码学证明替代传统验证码。更底层的是IETF草案 Web Bot Auth：让Agent用私钥对HTTP请求签名，服务器验签即可「验明正身」。企业侧，微软在2025年底的Ignite大会宣布 Entra Agent ID：在Copilot Studio、Azure AI Foundry里造的Agent，自动获得企业级身份，纳入统一账号治理（据微软官方公告）。
支持方观点（平台与厂商）：验证码已死。人机验证本意是挡恶意流量，结果惩罚了所有正常用户，而今天的Agent轻轻松松过验证码。可验证身份让好Agent亮证通行、坏爬虫无从遁形，还能按身份分级服务——搜索引擎爬虫免费、AI训练爬虫收费、企业内部Agent走审计。微软那套逻辑就是把Agent当「数字员工」管理：有账号、有权限、有生命周期、出事能追责。
反对方观点（开放网络与隐私派，HN高赞方向）：匿名是普通用户最后的护城河。一旦「亮明身份才能通行」成为默认，平台就有了差异化对待的基础：同一张机票，高价值Agent看到高价、比价Agent直接被拒。反对者担心这滑向变相的网络实名制——对机器人实名，最终会外溢到对人。Web Bot Auth草案下的讨论区里，「谁来签发身份、凭什么吊销」就是当年「谁来管CA」的老问题重演。
中立派观点：身份会分两层落地，谁也拦不住——传输层身份（密码学签名，证明「我是我」）和法律层身份（企业为Agent行为担责，类似今天的员工账号体系）。技术中立，关键在分账规则。
对中国用户的启示：第一，做出海产品或Agent服务的团队，现在就要支持请求签名和规范的User-Agent声明，否则你的Agent在Cloudflare们的世界里就是「待拦截流量」；第二，反向机会：帮企业做「Agent准入治理」（哪些Agent能进、按什么价、留什么日志）是全新的运维岗位和服务市场；第三，普通用户要意识到：你用的AI助手访问网站的方式，正在决定你能看到的价格和信息。
flowchart TD
A["Agent发起请求"] --> B["请求附带密钥签名"]
B --> C{"服务器验签"}
C -->|签名有效| D["亮明身份放行"]
D --> E["按身份分级服务"]
D --> F["企业为行为担责"]
C -->|无签名| G["按匿名流量处理"]
G --> H["限速或验证码"]
事件背景：2025年8月，由OpenAI Codex团队牵头、多家Agent厂商联署的开放格式 AGENTS.md 上线（agents.md）：在仓库根目录放一个Markdown文件，写清楚这个项目「AI该怎么干活」——构建命令、代码风格、测试约定、禁区。据OpenAI披露，上线一个月内被两万多个仓库采用；Codex CLI、Google Gemini CLI、Jules、Cursor、Amp等主流编程Agent先后宣布支持。它和Claude Code的CLAUDE.md、Cursor自家的Rules文件形成三足鼎立——同一个诉求，三种方言。
标准化派观点：这是开源协作的隐形革命。以前开源项目的贡献规范只写给人类看（CONTRIBUTING.md），现在AI替人写代码，项目方必须给贡献者的AI立规矩，否则每个PR都是AI按自己习惯生成的一锅粥。一份AGENTS.md全Agent通用，维护成本最低，也是开源项目对AI时代的第一道质量闸。
碎片化派观点（HN经典的配置文件地狱论）：又多一种配置文件。同一个仓库里CLAUDE.md、AGENTS.md、.cursorrules三份说明互相打架怎么办？没有校验器、没有冲突检测、没有版本规范，写错了等于给所有Agent埋雷。社区流行的软链接或「CLAUDE.md只写一行指向AGENTS.md」的招数，恰恰说明标准化来得太慢。
中立派观点：文件只是载体，真正的变化是团队第一次被迫把工程潜规则显性写出来。「新人入职三页纸」从来没人写，现在AI逼你写出来了。这是软件工程的知识管理问题，格式之争是表面。
对中国用户的启示：视角差就在这里——很多人clone海外开源项目时看到AGENTS.md，以为又是个普通文档，其实那是项目方写给你的AI的说明书。三个动作：1）给你自己的仓库补一份AGENTS.md，把构建、测试、风格、禁区写清，10分钟让所有编程Agent立刻「懂规矩」；2）Monorepo用嵌套AGENTS.md做粒度控制（按官方规范，子目录文件就近优先）；3）Claude Code用户用CLAUDE.md一行引用AGENTS.md，别维护两份。顺带说，把自己团队的工程规范写成Agent可读文档，正在变成咨询侧的新活。
| 对比项 | AGENTS.md | CLAUDE.md | 各家私有Rules |
|---|---|---|---|
| 谁在读 | Codex、Gemini CLI、Jules、Cursor等多家 | Claude Code | 对应厂商自家 |
| 定位 | 开放格式，仓库通用 | Claude生态 | 厂商锁定 |
| 维护策略 | 一份通吃 | 一行引用转发 | 尽量收敛进AGENTS.md |
| 话题 | 你以为的 | 别人已经知道的 |
|---|---|---|
| AI安全 | AI挖洞是噱头 | Xbow已登顶HackerOne美国区榜首，人的价值迁向分诊与利用链 |
| Agent身份 | 验证码挡机器人就行 | 平台在给Agent发密码学「工牌」，不亮身份将被当垃圾流量 |
| AGENTS.md | 又一个无关文档 | 是写给你的AI的说明书，两万仓库已采用，全Agent通用 |
三场争论其实是同一个问题的三个切面：当AI成为劳动主体，人类社会的接口标准就要重写一遍。赏金榜是「劳动成果怎么验收」，Agent工牌是「劳动主体怎么登记」，AGENTS.md是「劳动规范怎么传达」。历史上每次劳动力形态变化（工厂→外包→远程办公）都长出了配套制度，这次也一样——制度还没定型的时候入场的人，赚的就是「写规则」的钱，而不是「守规则」的钱。
（注：Xbow战绩、AIxCC奖金、AGENTS.md采用量等数据均标注了披露方，因平台政策与赛制持续更新，引用前请以官方最新公告为准。）
本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护。 聚焦5G/6G核心网、3GPP标准、AI工具实战。知识星球「51学通信」提供深度技术答疑和行业洞察。
[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。