当全球顶级科技公司主动把自家系统的大门钥匙递给黑客事情就变得有趣了。Meta最近做了一件看似疯狂的事它开源了一个名为Zurp的工具包专门帮助安全研究人员更高效地“攻击”Facebook、Instagram等自家产品。只不过这场攻击完全发生在授权范围内而且背后还站着一位特殊的帮手——AI编码代理。一、Zurp到底是什么Zurp是一个开源安全测试工具包它的特别之处在于打通了Burp Suite工作流程与AI编码代理之间的通道服务于Meta漏洞赏金计划中经过审核的研究人员。熟悉Web安全测试的人都知道Burp Suite是渗透测试领域的标配工具而Zurp相当于给它装上了一个专为Meta生态定制的大脑。过去研究人员在测试Meta旗下目标时常常需要在多个工具、不同登录账号和各种访问令牌之间反复切换流程繁琐且容易出错。Zurp把这些散落的能力整合到了一起让经批准的研究工作可以在同一套环境里顺畅进行。从架构上看Zurp以Burp Suite的Java扩展形式运行同时为AI代理提供了一个模型上下文协议MCP服务器。这意味着研究人员可以借助Claude Code或Muse Code这类AI编码助手直接在Burp Suite里检查网络流量使用的还是同一套已获批的Meta API和访问令牌。人机协作的边界被划得很清楚工具只处理与研究人员自己授权账户相关联的数据和测试资产这是保证安全测试合法合规的重要红线。二、元视图读懂Meta流量的秘密语言Zurp的核心是元视图Meta View选项卡。每个接触过Facebook或Instagram流量的人都会遇到这样的困惑URL里一串陌生的doc_id、对象ID、操作名到底代表什么元视图的作用就是帮助研究人员快速识别捕获请求和响应中出现的各类标识符包括URL、GraphQL的doc_id值、对象ID以及各种操作名称。这个设计的实际价值非常明显。面对海量的Meta服务流量研究人员不再需要逐个猜测陌生值的含义节省下来的时间可以投入到真正需要深挖的环节。三、四大模块各管一摊Zurp内置了Meta Context、FBDL、CSRF处理和SPARTA几大组件。Meta Context负责解释请求中的标识符相当于一位随时待命的翻译。FBDL帮助研究人员创建和管理允许在Meta测试环境中使用的测试账户和资产解决了授权测试环境中最让人头疼的资源问题。SPARTA则扮演着线索官的角色它能提示哪些领域值得更仔细地审查并把概念验证工作自动排入Burp Suite Organizer队列让研究节奏更有条理。值得一提的是每个功能都可以独立使用也可以串联成一条完整的研究工作流灵活度相当高。四、自动处理CSRF令牌告别重放失败凡是做过Web安全测试的人几乎都遇到过这样的挫败好不容易在浏览器里捕获到一个有效请求导入Burp Repeater后一发送直接失败——原因往往只是某个短期有效的反CSRF值已经过期。Zurp针对这个痛点给出了优雅的解法。它可以自动从浏览流量中收集fb_dtsg、lsd和CSRF令牌等值并在发送请求之前替换受支持的占位符。这样既保证了授权重放测试的稳定性又在主机和登录账户之间维持了数值隔离安全性没有被妥协。五、AI辅助路径三个MCP服务器齐上阵通过meta-context、fbdl和sparta三个独立的MCP服务器Zurp为AI辅助测试铺平了道路。兼容的MCP客户端可以调用这些服务来检查捕获的请求、识别已知的Meta值或者调用已授权的测试资产。这种设计折射出应用安全测试领域一个清晰的趋势AI功能正在围绕既有的成熟测试流程做增强而不是取代研究人员的判断。人依然是主导者AI负责处理繁琐的识别和匹配工作。六、安装门槛与访问权限对于想上手的研究人员安装过程并不复杂通过Burp Suite的扩展菜单加载预构建的zurp.jar文件然后在Zurp设置中填入Meta研究人员令牌即可。环境要求方面项目需要Burp Suite 2024.7或更高版本如果从源码构建扩展需要Java 17代理端的MCP服务则需要Node.js 22.19.0或更高版本。访问权限依然受到严格控制。Zurp沿用了Meta FBDL服务的允许列表模型未获资格的用户会直接收到HTTP 403响应。令牌有效期为60天研究人员需要登录正确的已注册漏洞赏金账户来生成令牌因为在其他账户下创建的令牌可能无法通过授权校验。七、为什么Zurp值得关注Zurp真正引人注目之处在于它把基于代理的手动测试、授权测试数据和AI代理工作流连接成了一个整体同时又没有把人类研究人员从流程中剔除。这是一种务实的人机协作范式AI加速人类掌舵。Meta在漏洞赏金上的投入也印证了这一方向的价值。2024年Meta向研究人员支付了超过230万美元奖金在接近1万份提交的漏洞报告中约有600份有效报告获得了奖励。可以说像Zurp这样的工具正在让每一分赏金花得更高效。研究人员可以通过Zurp的GitHub仓库获取源代码和安装指南Meta的FBDL资格标准页面则详细说明了哪些人可以申请使用这套经批准的测试环境。对于深耕Web安全的从业者来说这无疑是一个值得深入研究的信号大厂正在用AI重新定义漏洞挖掘的协作方式。