安全領域也如此，比如漏洞評估，用代碼推送來調度靜態代碼審查，部署工具對海量錄入數據進行更快捷的檢測和更有效率的反饋。然而問題及挑戰在于，盡管人為產生的問題集合可在自動化的幫助下解決大半，卻永遠不能僅僅依靠自動化本身徹底解決。

生產一件產品或進行一項業務的過程，連同那些支持這項產品或業務的系統，基本上而言，是創造性的。生產過程背后的人，及人類創造性中的優勢和弱點都深深的烙印在過程核心中（有趣的是，發現漏洞并構建和執行惡意攻擊的過程也是創造性的）。

盡管我們可以將相同的創造性應用自動化上，使之更加完美。但最終，計算機只是按人類的指令行事，進行重復性、大規模的廉價勞動。我們現在用于發現業務漏洞的自動化過程和工具已經達到了一定的程度，剩下的工作則需要人的介入。

無法避免的是，自動化會形成“安全盲點”，而后者同樣也是惡意攻擊者關注并為之努力攻克的地方。

摩根大通與塔吉特信息泄露事件就是當自動化偏離軌道時會呈現的樣子。兩起事件中，攻擊者所用的最初入口點——一個臨時web服務器和面向外部的空調供暖系統（HVAC）控制入口，都是應該被認定為有風險并進行修復的。然而，兩起事件中，這些系統最終都淪為了自動化盲點的犧牲品。

心臟滴血和Shellshock漏洞在源代碼中已存在多年，期間歷經無數次代碼審計，卻依然存活，直至最終被人發現并利用。

自動化過程和自動化工具能幫我們做很多事。如果考慮“二八法則”，自動化絕對是將我們帶到80%價值那端的原因。但不管自動化帶來的價值是80%還是更多，最終總會遇到“收益遞減規律”接管的拐點（見圖中1號），我們在增加或改進自動化上的投入產出便開始逐漸減少，直至趨于水平。

每個軟件，每套系統，每個平臺都會有安全漏洞。那么，我們能對那20%作些什么呢？我們該怎樣解決這些“安全盲點”（見圖中2號）呢？

正如企業可以享受自動化帶來的效率提升，攻擊者也同樣可利用相同的自動化技術提高攻擊效率。畢竟，沒人想把時間和金錢花在突破已經修補好的漏洞上。攻擊者認為你可能沒注意到的地方，就是他們努力的方向。他們不會停止自動化的腳步，他們甚至會在人力資源上下功夫，以推動攻擊水平向更高等級發展。在攻擊方看來，有很多人身懷各種各樣的技能，被各種不同的動機驅動（不僅僅是錢），還有一套基于追求結果的激勵模式。

但這并不是說，在我們的自動化套件之上還需要外聘1000個白帽子來幫你排查各種系統。對大多數公司而言，這是很不實際的。當你招募或外包工作給安全專家時，他們應該為防御和培訓服務，并將評估結果的剩余價值驅動起來供下至工程團隊上至管理層所用，發揮他們的持續性影響。這些專家將會幫助彌補差距縮小空白（見圖中3號）。

剩下的空白（見圖中4號）是那些真正糟糕的東西所在，那些黑客能找到而高薪聘請的專家發現不了的東西。

這里，就是眾測需要隆重出場的地方。在這個領域，人類本身也融入了自動化之中。通過利用績效薪酬模式，以及通過眾測凝結安全社區的集體創造力，可以將人力資本以一種低成本高效益的方式發揮出來，進一步縮短自動化能力和人類專家能力間的差距，達成想要的最高安全級別。

最后，我們需要注意的是：不要想當然地認為自動化就是萬能的。這么想的話只能把自己陷入危險的安全盲區之中。相反，我們應該運用眾人的智慧，讓一組能體現人類效率的高水平安全測試員來縮小差距，那些潛在攻擊者惦記的就是這一差距，他們不只追逐那些能被自動化工具和市場上售賣的商業工具輕易發現的漏洞。而且，即使他們使用這些工具，也一定不會是跟你一樣的方式。他們會關注那些你容易忽略掉的地方，他們也想快速有效地突破防御。