Krisp 为何选择 Hacktron

“Hacktron 关注的是真实、可利用的安全问题，影响说得清楚，修复建议也很明确。

“PR 发布之前，它总能挖出高价值的问题，让我们少花时间分类处理，多花时间修复真正的风险。”

Davit Karapetyan
产品安全工程师

关于 Krisp

Krisp 是一个实时语音 AI 平台，为个人和企业提供降噪、口音转换、实时转录和 AI 会议纪要等能力，产品广泛用于全球的呼叫中心、会议工具和语音 AI 开发者平台。

Krisp 已部署在超过 2 亿台设备上，每月处理的语音通话超过 800 亿分钟，业务覆盖全球。因此，安全对 Krisp 和它的客户都至关重要。

挑战：AI 时代，安全要跟上开发速度

和许多安全团队一样，Krisp 过去依赖传统 SAST 工具。这类工具告警量大，大多数并不可利用。真正的风险淹没在噪音里，光是分类处理就成了一项费时的工作。

工程团队开始用 AI 提速开发后，Krisp 需要在开发早期就识别出真正有价值的漏洞，既不拖慢工程团队，也不要求他们改变交付代码的方式。

解决方案：把 AI 原生的安全工作流接入 SDLC

Krisp 把 Hacktron Review 直接接入 GitHub 工作流，让安全成为 PR 审查的一部分，工程师的工作方式不用改变。

Hacktron 不会孤立地扫描代码改动，而是结合应用专属的威胁模型和完整的代码库上下文审查每个 PR。理解了一次改动在整个应用中的位置，Hacktron 才能判断它是否真的可利用，并发现业务逻辑漏洞、被打破的安全假设和多步骤漏洞。传统的模式匹配扫描器，本来就不是为发现这类问题设计的。

Hacktron 报出的问题以行内评论的形式标在受影响的代码旁，附带复现步骤、可达性追踪和修复建议。Krisp 的工程师几分钟就能验证是否可利用，不用再争论告警是真是假。

成效：安全更强，噪音更少

部署后的前 4 周，Hacktron 就帮 Krisp 抢在上线前发现并处理了多个漏洞，从发现到处理平均只需 8 天。

Krisp 安全团队通过 GitHub 的分类处理评论、Hacktron MCP 和 Hacktron API，一周内分类处理了 300 多个问题。每个误报或已接受风险都标注了原因，直接反馈进 Hacktron 为 Krisp 代码库建立的威胁模型。这些反馈会让 Hacktron 逐步更了解 Krisp 的架构、安全控制和风险容忍度，误报随之减少，报出的问题质量也更高。

像 Krisp 这样的复杂系统，安全关卡和安全原语往往分散在多个仓库和应用中。Hacktron Review 把自身分析与 Krisp 团队的直接反馈结合起来，帮 Krisp 保持了高信噪比，对 Krisp 各项安全控制的理解也在持续加深。