京东双11期间暂停外部安全测试与漏洞收录：AI工具违规测试干扰生产环境

据 IT之家 10 月 20 日报道，京东安全应急响应中心（JSRC）发布公告，决定于2026 年 10 月 18 日 0 时至 11 月 18 日 10 时，阶段性暂停外部授权安全测试及漏洞收录，范围覆盖京东全部产品、业务系统及相关资产。京东称，近期多起白帽子使用 AI 工具进行漏洞测试时出现违规行为，已对生产环境稳定性造成干扰；双 11 业务高峰期间，外部测试可能带来的额外波动成为此次调整的重要原因。

暂停范围不限于 AI 测试，漏洞报告也暂停收录

此次公告的触发因素涉及 AI 工具，但执行范围并非只针对 AI 驱动的漏洞扫描或测试。根据 JSRC 的安排，暂停措施覆盖相关资产的外部授权安全测试，同时暂停收录相关漏洞报告。对安全研究人员而言，不能将“不使用 AI”理解为仍可继续开展测试，也不能把发现漏洞与获得测试授权混为一谈。

• 暂停时间：2026 年 10 月 18 日 0 时至 11 月 18 日 10 时。
• 适用范围：京东全部产品、业务系统及相关资产的外部授权安全测试。
• 报告处理：暂停期内不收录相关漏洞报告，期满后恢复正常收录，并通过 JSRC 公众号另行通知。
• 违规处置：未经授权的测试将被认定为违规，可能面临账号限制、封禁及相应法律责任。

JSRC 明确表示，暂停期间的任何未经授权测试均将被认定为违规测试。京东将根据实际影响采取相应措施；如果测试造成系统异常、服务波动或其他不良后果，京东保留依法追究责任的权利。公告同时提示，未经授权开展测试可能涉及网络安全、漏洞管理、数据安全及个人信息保护等相关法律法规。

影响与解读：AI 降低操作门槛，不代表降低授权要求

从公告披露的信息看，京东此次措施的重点是生产环境风险控制，而不是对 AI 安全工具作出全面否定。来源并未披露涉事工具名称、具体测试方式及故障细节，因此不能据此判断某类模型或产品存在特定缺陷，也不能将所有 AI 辅助安全研究等同于违规行为。

值得关注的是，AI 工具能够辅助分析和生成测试方案，但工具能力并不能替代对目标范围、操作强度与业务影响的判断。安全测试的前提仍然是明确授权与边界。当测试对象是正在承载真实交易的系统时，即便研究者以发现漏洞为目的，也需要遵守运营方规定，不能以工具自动执行为由忽略责任。

双 11 期间，京东的业务访问、营销活动、交易链路和后台作业均处于高峰。在这一背景下，暂停外部测试体现了平台对业务连续性的优先考虑。对安全团队和 AI 工具使用者而言，这也是一个提醒：评估自动化测试能力时，不仅要看漏洞发现效率，还应重视授权校验、操作约束与停止机制。对涉及京东资产的研究活动，当前应遵循暂停要求，并留意 JSRC 后续恢复通知。