两种打法，按目的选
两个档位用的是同一套 AI 安全智能体，区别在于专家介入多少、往下挖多深。
AI 智能体自动化评估
拿得出手、经得起审计追问的覆盖度。
- 范围内的资产，智能体从头到尾自动跑完。
- 安全分析师复核风险等级、剔除误报，最后签字出报告。
- 快、可重复，适合每季度固定跑一次。
边缘资产了解安全情况，或已完成深度评估的资产开展周期性复测，掌握应用变化带来的安全变化
专家主导深度评估
往深里挖，找出真正会让你痛的问题。
- 全程有资深测试专家跟着，和智能体配合推进。
- 专挖自动化碰不到的业务逻辑漏洞和越权问题。
- 把单点问题串成完整攻击链，利用过程写清楚，能复盘。
核心产品上线前，涉敏版本发布前，通过SOC2或ISO27001认证，并购尽调。
一次测试是怎么跑的
八个阶段，每次都按这个顺序走。测了什么、哪些没测到，报告里都写明白，不做覆盖率注水。
确认范围与授权
动手之前先书面确认：测哪些目标、什么时间窗口、边界在哪。授权范围以外的，一律不碰。
点任意一步，看这个阶段具体做什么。
我们测什么
Web 应用与 API
认证与授权、越权访问（IDOR）、注入、SSRF，以及扫描器天生发现不了的业务逻辑漏洞。
移动应用
Android 和 iOS 都测。除了静态分析，还会反编译 JS / Hermes bundle，把 App 真正在调的云端接口挖出来，而不是只看官网上公开的那几个。
SaaS 平台
多租户隔离、跨租户越权、凭证与会话处理。这类问题一旦失守，一个客户的账号就能看到所有人的数据。
SDK 与第三方组件
排查依赖和供应链风险，把你打包进产品的第三方代码逐个对到具体 CVE。
云环境与 CI/CD
对象存储暴露、GitHub 与 GitLab 组织级 CI/CD 攻击面，还有依赖混淆。
这些标准，审计机构都认
- MITRE ATT&CK v18.1
- OWASP WSTG v4.2
- OWASP Top 10:2021
- OWASP MASVS v2
为什么这份报告值得读
扫描器的导出结果谁都能给你。差别在于扫出来之后，还做了什么。
每条都验证过，不是扫描器原样导出
我们会用无害标记或自己的测试账号，把真实影响打出来。交到你手上的，都是确认过、能复现的。
风险等级不注水
验证不了的就降级或直接剔除，并且写明原因。不让你的人花一整周去追噪音。
每条漏洞都配可运行的 PoC
再附一个我们自研评分引擎算出的 CVSS v4.0 分数，不同项目之间的严重程度可以直接横向比。
写给真正修 bug 的人看
支持多国语言，HTML / PDF / DOCX / Markdown 随你挑。能串成完整攻击链的，利用过程从头到尾写给你看。
只验证，不破坏
这几条是硬红线，写在平台里强制执行，不是制度文档上的一段话。
- 只测授权范围内的目标
- 绝不触碰真实用户或客户数据
- 绝不造成服务中断
- 所有操作均可回滚
渗透测试常见问题
- 两种档位：AI 智能体自动化评估按资产类型与数量浮动；专家主导深度评估按项目定制报价。
- 每条漏洞都附可运行的 PoC 与 CVSS v4.0 评分，修复后免费复测。
- 测试基准：OWASP WSTG v4.2、OWASP Top 10:2021、OWASP MASVS v2、MITRE ATT&CK v18.1。
- 覆盖范围：Web 应用、API、Android 与 iOS 应用、SaaS 平台、SDK 与第三方组件、云与 CI/CD。
Kaamel 的渗透测试怎么收费？
分两档计费：AI 智能体自动化评估按纳入范围的资产类型与数量浮动；专家主导深度评估按项目范围与深度定制报价。两档都包含每条漏洞附 PoC 与 CVSS v4.0 评分的报告，修复后免费复测。具体报价可在预约范围沟通时直接拿到明确答复。
这能满足 SOC 2 或 ISO 27001 的渗透测试要求吗？
可以。AI 智能体自动化评估就是为这类要求设计的：每项资产按 OWASP WSTG v4.2、OWASP Top 10:2021、OWASP MASVS v2 与 MITRE ATT&CK v18.1 测试，安全分析师校准严重度并签发报告，审计师可直接采信。不少客户按季度跑一次，作为常态化控制。
测试哪些对象？
Web 应用与 API、Android 与 iOS 应用（含 JS 与 Hermes 包反编译）、多租户 SaaS 平台、SDK 与第三方组件，以及对象存储、GitHub/GitLab 流水线等云与 CI/CD 环境。
会影响生产环境或触碰客户数据吗？
不会。硬性限制内置在平台里：只测授权目标，不触碰真实用户或客户数据，不造成服务中断，每个动作可回滚。漏洞用无害标记或我们自己的测试账号来验证。
报告里有什么？
只有已确认、可复现的问题。每条附可运行的 PoC、CVSS v4.0 评分和面向修复工程师的说明；无法验证的会降级或剔除并标注。报告支持 HTML、PDF、DOCX、Markdown，并可用你团队的工作语言出具。
项目怎么启动？
先书面确认范围、时间与边界。30 分钟的范围沟通会告诉你适合哪一档、会测什么、什么时候拿到报告；授权之前不会运行任何测试。
相关服务
最近更新:
