QMC 如何通过 Agentic 智能安全测试将修复时间从 4 个月缩短至 1 周
卡塔尔媒体公司（Qatar Media Corporation，QMC）是卡塔尔的国家公共媒体机构。QMC 安全团队在整个应用产品组合中同时采用 Ostorlab 的基于规则扫描与 Deep Agentic Scan（深度智能体扫描），将两者结合以强化漏洞的识别、上下文分析及修复优先级排序。
传统扫描工具发现问题时缺乏足够的上下文，难以迅速采取行动。安全与开发团队往往需要反复沟通才能弄清哪些漏洞最关键及其原因。人工评估虽然细致，但在不断扩大的应用组合中难以扩展。QMC 团队需要一种能够实现以下目标的方法：
- 为漏洞提供丰富的上下文，而不仅仅是简单标记，从而加快分析与验证进程
- 促进安全与开发团队之间更清晰、更迅速的修复方案沟通
- 在不放弃人工审查严谨性的前提下，大幅缩短获取初步安全洞察的时间
- 融入兼顾持续全覆盖与深度针对性调查的综合测试战略
基于规则的扫描实现持续自动化覆盖
QMC 采用基于规则的扫描来自动化应用组合中的可重复安全监控，无需每次人工介入即可提供稳定一致的基线覆盖。
Deep Agentic Scan 实现富含上下文的深度分析
与此同时，QMC 引入了 Ostorlab 的 Deep Agentic Scan，用于复杂攻击场景的增强分析和深入调查。与传统自动化扫描方式相比，它能为漏洞呈现更多维度上下文，包括技术栈可见性、攻击面测绘以及各风险暴露点之间的关联。
专家人工审查作为最终把关
两种自动化扫描方式均显著加速了潜在安全问题的识别与验证，但人工核验与专家审查依然是确认漏洞并评估业务特定风险不可替代的关键环节。
虽然自动化扫描解决方案无法完全取代人工安全评估，但该平台有效加速了潜在安全问题的发现与验证。
— QMC
上下文加速分析与验证
Deep Agentic Scan 带来的丰富上下文（包括技术栈可见性、攻击面测绘以及潜在暴露点间的关联关系），为 QMC 团队提供了更清晰高效的分析与验证起点。通过专注于已被深入调查和验证的真实安全发现，QMC 将平均修复周期从四个月缩短至一周，修复速度提升约 17 倍。
Deep Agentic Scan 为已识别的漏洞提供了更广泛的上下文信息，包括技术栈可见性、攻击面测绘以及潜在暴露点之间的关联关系。
— QMC
与应用负责人建立更充分高效的沟通
这一上下文改变了 QMC 与开发人员及应用负责人之间的修复讨论模式，从单纯列举问题转变为根据风险和业务影响就优先修复项达成共识。
这促进了更有依据的修复讨论，并协助各利益相关方根据风险和业务影响排定整改措施的优先级。
— QMC
洞察获取更快，评估频次更高
与单独的人工评估相比，联合运行基于规则扫描和 Deep Agentic Scan 大幅缩短了获取初始安全洞察所需的时间，并实现了对多个应用的高频常态化评估。
自动化扫描显著减少了获得初始安全洞察所需的时间，并实现了跨多个应用程序更频繁的评估。
— QMC
面向未来的分层安全战略
展望未来，QMC 计划进一步深化这种分工：利用基于规则的扫描进行持续、可重复的基线监控，同时借助 Deep Agentic Scan 进行复杂攻击场景的增强分析与深层调查。
基于规则的扫描可支持跨应用程序的持续可重复安全监控，而 Deep Agentic Scan 则可用于复杂攻击场景的增强分析和深入调查。
— QMC
使用基于规则的扫描对应用程序进行周期性评估，保持持续覆盖
运行 Deep Agentic Scan 对复杂攻击场景进行深度探查
相比传统扫描，Deep Agentic Scan 的发现进一步融合了技术栈上下文、攻击面测绘与暴露关联
安全团队利用该上下文与应用负责人排定修复优先级并指导整改工作
专家人工核验确认发现项并评估特定业务风险
QMC 的实践表明，自动化检测与 Agentic 智能测试相结合，能够更快推动安全发现转化为实际修复行动。凭借针对技术栈、攻击面及相关暴露点的更丰富上下文，加之专家的深度核验，QMC 显著改进了安全发现的验证与优先级排序，将修复时间从四个月缩短至一周。