两种打法，按目的选
两个档位用的是同一套 AI 安全智能体，区别在于专家介入多少、往下挖多深。
AI 智能体自动化评估
拿得出手、经得起审计追问的覆盖度。
- 范围内的资产，智能体从头到尾自动跑完。
- 安全分析师复核风险等级、剔除误报，最后签字出报告。
- 快、可重复，适合每季度固定跑一次。
为了过合规或认证：SOC 2、ISO 27001、客户发来的安全问卷，或者每年必须做一次的渗透测试。
专家主导深度评估
往深里挖，找出真正会让你痛的问题。
- 全程有资深测试专家跟着，和智能体配合推进。
- 专挖自动化碰不到的业务逻辑漏洞和越权问题。
- 把单点问题串成完整攻击链，利用过程写清楚，能复盘。
核心产品上线前加固、涉敏版本发布、并购尽调。说白了，就是真出事赔不起的场景。
一次测试是怎么跑的
八个阶段，每次都按这个顺序走。测了什么、哪些没测到，报告里都写明白，不做覆盖率注水。
确认范围与授权
动手之前先书面确认：测哪些目标、什么时间窗口、边界在哪。授权范围以外的，一律不碰。
点任意一步，看这个阶段具体做什么。
我们测什么
Web 应用与 API
认证与授权、越权访问（IDOR）、注入、SSRF，以及扫描器天生发现不了的业务逻辑漏洞。
移动应用
Android 和 iOS 都测。除了静态分析，还会反编译 JS / Hermes bundle，把 App 真正在调的云端接口挖出来，而不是只看官网上公开的那几个。
SaaS 平台
多租户隔离、跨租户越权、凭证与会话处理。这类问题一旦失守，一个客户的账号就能看到所有人的数据。
SDK 与第三方组件
排查依赖和供应链风险，把你打包进产品的第三方代码逐个对到具体 CVE。
云环境与 CI/CD
对象存储暴露、GitHub 与 GitLab 组织级 CI/CD 攻击面，还有依赖混淆。
这些标准，审计机构都认
- MITRE ATT&CK v18.1
- OWASP WSTG v4.2
- OWASP Top 10:2021
- OWASP MASVS v2
为什么这份报告值得读
扫描器的导出结果谁都能给你。差别在于扫出来之后，还做了什么。
每条都验证过，不是扫描器原样导出
我们会用无害标记或自己的测试账号，把真实影响打出来。交到你手上的，都是确认过、能复现的。
风险等级不注水
验证不了的就降级或直接剔除，并且写明原因。不让你的人花一整周去追噪音。
每条漏洞都配可运行的 PoC
再附一个我们自研评分引擎算出的 CVSS v4.0 分数，不同项目之间的严重程度可以直接横向比。
写给真正修 bug 的人看
支持多国语言，HTML / PDF / DOCX / Markdown 随你挑。能串成完整攻击链的，利用过程从头到尾写给你看。
只验证，不破坏
这几条是硬红线，写在平台里强制执行，不是制度文档上的一段话。
- 只测授权范围内的目标
- 绝不触碰真实用户或客户数据
- 绝不造成服务中断
- 所有操作均可回滚
