1. 引言
2025年,360数字安全集团发布《2024年度网络安全漏洞分析报告》,报告中显示,2024年全球漏洞总数达到44,957个,相较于2023年增长超过50%,创下历史新高。其中,高危和严重漏洞的占比超过50%。这一趋势反映了软件开发和使用的复杂性在不断增加,漏洞的发现和披露周期也在缩短,全球企业在漏洞披露、修复的过程中,面临着更大的压力和挑战。此时,众测作为一种新兴的软件测试模式,逐渐成为保障软件质量的重要手段[1]。它通过整合社会资源,将软件测试任务分发给众多的接包方,从而高效地发现软件中的漏洞和缺陷[2]。然而,在众测过程中,平台方、发包方和接包方作为三个主体,其策略选择相互影响,且存在信息不对称和机会主义行为,这给众测平台的管理带来了挑战。
众多学者对众测平台的激励机制进行了深入研究。一些研究从平台方的角度出发,探讨如何设计合理的激励机制来提高接包方的积极性和测试质量。例如,有学者提出基于奖金的物质激励机制,通过设置不同的奖励等级来鼓励接包方提交高质量的漏洞测试报告[3]-[5]。另一些研究则关注声誉机制的作用,认为声誉作为一种隐性激励手段,可以有效减少接包方的投机行为,促进其积极参与[6] [7]。此外,还有学者从发包方的角度出发,研究如何通过合理的报酬支付和任务分配来影响接包方的行为[8]。
基于此,本文运用演化博弈理论研究了平台方、发包方和接包方之间的策略选择,分析声誉奖惩机制对完善众测平台管理、参与三方策略选择的影响,并通过数值仿真进行验证,为众测平台制定管理策略提供一定的理论指导。
2. 模型假设与构建
2.1. 模型假设
为构建众测平台方、发包方和接包方三方演化博弈模型,并对各方策略及影响因素进行综合分析,提出以下假设:
假设一:由于平台方
、发包方
和接包方
之间存在信息不对称,因而在实际决策过程中并非完全理性,而是有限理性的,需要通过不断调整策略选择,以达到利益最大化。
假设二:假定平台方可采取{严格监管,宽松监管}的策略,并设置严格监管的策略比例为
,选择宽松监管的比例为
,其中
;发包方采取{接受测试报告,不接受测试报告}的策略,选择积极策略时的概率为
,选择消极策略的概率为
,其中
;接包方方采取{积极履责,消极履责}的策略,选择积极履责策略的概率是
,选择消极履责的概率是
,其中
。
假设三:测试任务完成后,平台方可获得
的直接收益。平台方若采取严格监管策略,需要承担
的管理成本,同时带来
的声誉提升;若采取宽松监管策略,除了
的管理成本,还会造成
的失信损失,其中
。
假设四:接包方完成测试任务后可获得
的直接收益,若选择积极履责(提交高质量漏洞测试报告),会产生测试成本为
,并获得
的声誉奖励;若选择消极履责(提交低质量漏洞测试报告),会产生测试成本为
,同时受到
的声誉惩罚。在平台方采取严格监管的情况下,再对接包方进行
的额外惩罚,并将其中的
反还给发包方作为补偿,其中
,
为惩罚因子,
为补偿因子。
假设五:发包方需要支付的报酬为
,其中
。接包方选择积极履责时,发包方可获得
的收益;接包方选择消极履责时,发包方可获得的收益
,其中
。
2.2. 模型构建
根据假设构建平台方、发包方和接包方三方的博弈收益感知矩阵,如表1所示。
Table 1. Benefit perception matrix
表1. 收益感知矩阵
接包方 |
发包方 |
平台方 |
严格监管(
) |
宽松监管(
) |
积极履责(
) |
接受测试报告(
) |
|
|
|
|
|
|
接受测试报告(
) |
|
|
0 |
0 |
|
|
消极履责(
) |
接受测试报告(
) |
|
|
|
|
|
|
不接受测试报告(
) |
|
|
0 |
0 |
|
|
3. 复制动态分析
3.1. 平台方的演化稳定策略
根据上述三方博弈收益感知矩阵,设平台方选择“严格监管”和“宽松监管”策略时的期望收益为
和
,根据各变量之间的相互关系,可以得出:
(1)
(2)
平台方的平均期望收益
为:
(3)
平台方博弈策略的复制动态方程为:
(4)
定理1
1) 当
时,
,此时
取任意值均为稳定状态。
2) 当
时,平台方的稳定策略为
,即“宽松监管”策略为演化稳定策略。
3) 当
时,平台方的稳定策略为
,即“严格监管”策略为演化稳定策略。
定理1表明,当发包方与接包方策略之间达到某一特定平衡条件时,平台方保持现有策略不变。当发包方与接包方策略满足
条件时,平台方会向“严格监管”策略演化;反之,平台方会向“宽松监管”策略演化。显然,若采取“严格监管”策略所花费的管理成本
足够小时,平台方总是会倾向于选择“严格监管”策略。若
并不是足够小,平台方的策略选择会受到发包方与接包方两方策略(
取值)的影响。
3.2. 发包方的演化稳定策略
设发包方选择“接受测试报告”和“不接受测试报告”策略时的期望收益为
和
:
(5)
(6)
发包方的平均期望收益
为:
(7)
发包方博弈策略的复制动态方程为:
(8)
定理2
1) 当
时,
,此时
取任意值均为稳定状态。
2) 当
时,发包方的稳定策略为
,即“不接受测试报告”策略为演化稳定策略。
3) 当
时,发包方的稳定策略为
,即“接受测试报告”策略为演化稳定策略。
由定理2(1)表明,当平台方与接包方之间的策略满足某一特定关系时,发包方不会改变其现有策略。但由于平台方与接包方之间的策略一直处于不断的演化中,因此这一特定条件随时都会改变。定理2(2)、(3)表明,当平台方与接包方策略满足
条件时,发包方会向“接受测试报告”策略演化;反之,发包方会向“不接受测试报告”策略演化。可以看出,若发包方需要为众测任务支付的报酬
足够小时,发包方总是会倾向于选择“接受测试报告”策略。若
并不是足够小,发包方的策略选择会受到平台方与接包方两方策略(
取值)的影响。
3.3. 接包方的演化稳定策略
设接包方选择“积极履责”和“消极履责”策略时的期望收益为
和
:
(9)
(10)
接包方的平均期望收益
为:
(11)
接包方博弈策略的复制动态方程为:
(12)
定理3
1) 当
时,
,此时
取任意值均为稳定状态。
2) 当
时,接包方的稳定策略为
,即“消极履责”策略为演化稳定策略。
3) 当
时,接包方的稳定策略为
,即“积极履责”策略为演化稳定策略。
定理3表明,当平台方与发包方策略之间达到某一特定平衡条件时,接包方保持现有策略不变。当平台方与发包方之间的策略满足
条件时,接包方会向“积极履责”策略演化;反之,接包方会向“消极履责”策略演化。可以看出,若采取“积极履责”策略所花费的管理成本
足够小,接包方总是会倾向于选择“积极履责”策略。若
并不是足够小,接包方的策略选择会受到平台方与发包方两方策略(
取值)的影响。
3.4. 复制动力系统
联立式(4)、(8)、(12),平台方、发包方和接包方的复制动态系统为:
(13)
4. 均衡点及其稳定性分析
4.1. 雅克比矩阵
按照Friedman [9]提出的方法,可通过分析雅克比(Jacobian)矩阵的局部稳定性来确定复制动力系统的演化稳定策略(ESS)。由式(13)得雅克比矩阵为
4.2. 稳定性分析
在复制动态系统(13)中,令
,可得到
,
,
,
,
,
,
,
这八个局部均衡点。
根据李雅普诺夫第一方法[10],当雅克比矩阵的所有特征值都具有负实部时,则该均衡点是渐近稳定点(ESS);当雅克比矩阵中至少有一个特征值具有正实部时,则该均衡点是非稳定点;当雅克比矩阵存在零实部的特征值,且其余特征值具有非正实部,则无法仅通过雅克比矩阵的特征值来确定系统平衡点的稳定性。
将八个均衡点分别代入雅克比矩阵式中,各均衡点对应雅克比矩阵的特征值如表2所示。
Table 2. Stability analysis of equilibrium point
表2. 均衡点稳定性分析
均衡点 |
Jacobian矩阵特征值 |
实部符号 |
特征值
|
特征值
|
特征值
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
注:“+”表示特征值为正;“−”表示特征值为负;“*”表示特征值正负号取决于具体的参数值。
通过对表2的观察分析,可以得到以下四种情景下演化博弈的稳定策略组合(具体见定理4)。
定理4
1) 当
,
时,复制动态系统存在稳定点
。
2) 当
,
时,复制动态系统存在稳定点
。
3) 当
,
时,复制动态系统存在稳定点
。
4) 当
,
时,复制动态系统存在稳定点
。
因而分四种情形进行仿真分析并讨论稳定策略。
5. 仿真分析
5.1. 数值仿真
通过以上的理论分析,本章运用Matlab软件对平台方、发包方与接包方的三方演化博弈模型进行仿真分析并得出三方主体在演化过程中的稳定策略,旨在能够直观地展现出不同情境下各个博弈主体策略选择的演化过程以及不同参数变动对演化稳定策略的影响,并检验本章所构建模型的正确性。相关参数需满足:
,
,
。仿真实验的基础标杆的参数设置为:
,
,
,
,
,
,
,
,
,
,
,
,
,
,
。由于参数设置决定了最终的稳定策略组合,为了分析不同情境的演化过程,后续的实验在标杆参数设置基础上调整某些参数。
1) 情景一:当
,
时,
为Jacobian矩阵的唯一稳定点。调整
,满足该情景下的约束条件,仿真结果如图1所示。结果向
聚拢,演化稳定策略为(宽松监管,接受测试报告,消极履责)。此情形下,发包方对于测试报告采取接受行为未能影响到平台方和接包方的行为,出于自身利益考虑,平台方和接包方都选择了最有利于自身的策略,发包方从而也得不到合理的补偿,不能实现众测平台生态系统的效益最大化。
Figure 1. Scenario 1 simulation analysis
图1. 情景一仿真分析
2) 情景二:当
,
时,
为Jacobian矩阵的唯一稳定点。调整
,
,满足该情景下的约束条件,仿真结果如图2所示。结果向
聚拢,演化稳定策略为(宽松监管,接受测试报告,积极履责)。此情形反映了发包方接受测试报告对接包方积极履责的作用,未能发挥平台方的作用,而平台方作为能够控制平台数据的主体,其行为决定众测平台的属性,影响着发包方和接包方的选择。在平台方宽松监管下,容易加剧发包方和接包方之间的信息不对称,引发双方矛盾,因而此情景不符合众测平台生态系统的实际情况。
Figure 2. Scenario 2 simulation analysis
图2. 情景二仿真分析
3) 情景三:当
,
时,
为Jacobian矩阵的唯一稳定点。调整
,
,
,
,满足该情景下的约束条件,仿真结果如图3所示。结果向
聚拢,演化稳定策略为(严格监管,接受测试报告,消极履责)。此情形下,平台方的积极监管行为和发包方的接受测试报告都不能改变接包方的消极履责行为,容易引发众测平台生态系统的价值共毁,不利于众测平台的健康发展。
Figure 3. Scenario 3 simulation analysis
图3. 情景三仿真分析
4) 情景四:当
,
时,
为Jacobian矩阵的唯一稳定点。调整
,满足该情景下的约束条件,仿真结果如图4所示。结果向
聚拢,演化稳定策略为(严格监管,接受测试报告,积极履责)。此情形下,众测平台实现协同良性发展。鉴于平台生态系统存在相互依赖和多边性的特点,唯有当所有参与方都进行活动时才能创造价值。在满足条件的情况下,平台方采取严格监管策略应对其他两方的积极策略,此时整个众测平台生态系统处于价值共创状态,即
才能实现系统整体利益达到最大化。
Figure 4. Scenario 4 simulation analysis
图4. 情景四仿真分析
5.2. 仿真结果
基于数值仿真的研究结果,本章从平台方、发包方及接包方三个角度出发,得出以下研究结论:
第一,从单个主体的演化策略来看,三方是相互利用的利益共同体,任何一方的策略选择都会受到系统内其他参与方的决策影响。
第二,从三方主体共同参与的层面来看,当演化策略为(严格监管,接受测试报告,积极履责)时,众测平台生态系统达到最佳状态,进而能够实现三方协同发展。
第三,从各方策略选择的影响因素来看,接包方积极履责的策略选择与平台方对于其的声誉奖励和惩罚呈正相关;平台方严格监管的策略选择与监管获得的声誉收益、宽松监管造成的失信损失呈正相关,而与积极监管下的成本呈负相关;发包方接受测试报告的策略选择与获得的收益和平台给予的补偿呈正相关。
6. 结论
在众测平台管理中,声誉奖惩和补偿机制对参与各方策略选择及平台生态发展影响重大。基于上述研究结论,提出如下管理启示,旨在优化平台管理、推动众测项目稳健发展。
第一,构建多维度声誉评估体系。众测平台应构建一套科学、全面的声誉评估体系,从多维度对接包方进行评价。除考量测试报告的质量外,还应纳入测试效率指标,例如完成任务的时长、参与项目的数量以及参与频率等,通过综合这些指标,更精准地反映接包方的实际表现,为声誉奖惩提供客观依据。
第二,实施差异化声誉奖惩措施。对于声誉良好的接包方,平台应给予丰富多样的奖励。除了现金奖励这物质奖励外,还可优先为其匹配优质项目,这些项目往往具有更高的报酬和更好的声誉提升机会。而对于存在投机行为、提交低质量报告的接包方,要加大惩罚力度,不仅要扣除部分报酬,还应降低其在平台的信用评级,限制其参与优质项目的资格,同时在平台显著位置公示其不良行为,以警示其他接包方。
第三,设立风险补偿专项基金。为应对接包方投机行为给发包方带来的损失,平台应设立风险补偿专项基金。这些基金的资金来源,可以是平台从每笔项目交易中抽取一定比例的金额,也可以引入外部投资。同时,制定详细的补偿规则和流程,当发包方因接包方的问题遭受损失时,可按照规定流程申请补偿。补偿金额根据发包方的实际损失和项目具体情况进行评估确定,以确保发包方的利益得到有效保障,增强发包方对众测平台的信任。