持续化平台
一次性扫描变为持续覆盖。
注册资产、为其设定计划、监测漂移，并跟踪风险随时间的变化。计划扫描和漂移触发的扫描与手动扫描走相同的 门禁 → 扫描 → 计费 路径，因此配额、并发和预算上限依然全部适用。
3 种频率
每天、每周或每月，按资产设定
以当前时间为锚点
重新启用计划绝不会引发集中补跑
仅限实质性变化
指纹会对 CSRF 令牌、nonce 和时间戳进行规范化，因此动态页面不会造成误报的漂移
概览
GET /api/overview · 全组织 CSV 导出
每个资产、其最近一次扫描，以及发生了哪些变化
按资产汇总：最新扫描状态、各严重级别数量、相对上一次扫描新增与已解决的差值，以及其运行计划。
资产
app.acme.com
每周 · 0C 1H 2M · +1 / −3
api.acme.com/v2
每天 · 漂移检测开启 · 0C 0H 1M
acme/support-agent
CI webhook · 1C 2H 4M · +2 / −0
按资产查看趋势
定期扫描需付费方案
相同的计费路径
一个资产的十二周
按计划运行的扫描，以及因发生变化而触发的两次扫描。
漂移
漂移
第 1 周 — 未解决 9每周频率 · trigger_on_change: true第 12 周 — 未解决 2
漂移触发，计划外
按计划，有新增发现
按计划，无新增
这里的“持续”意味着什么
01
资产
资产是你所监控的已注册目标。注册它、为其命名，并在其下线后将其移除——移除资产时也会同时删除其 CI 触发密钥。
02
计划
按资产设定每天、每周或每月运行，且支持合并更新：更改频率会保留漂移开关，反之亦然。重新启用时，下一次运行以当前时间为锚点。
03
漂移检测
在两次计划运行之间，平台会重新计算 URL 或 API 资产的指纹，优先使用其 OpenAPI 规范。一旦出现实质性变化，就会加入一次计划外扫描；抓取和重新扫描均按资产限速。
仪表盘背后的端点。
对于代码库资产，建议使用 CI webhook 路径从第一次提交到持续覆盖：一个智能体安全生命周期。
一切始于这张图。之后的每一步都从中读取、向其写回，并把上下文交给下一步。
可用性
资产评估——代码、网站、智能体，以及针对 AWS、Azure、Google Cloud 和 Oracle 的一键云端连接——已上线、可自助使用且免费。漏洞利用验证已上线，按扫描计费。网络与检测扫描类型按租户启用。eBPF 运行时传感器是企业版附加项，只检测、绝不拦截。
然后，在每一次变更时
这张图让四件事成为可能。
其中每一项都读取上述步骤所构建的同一份资产——正因如此，每一次变更都能对照生产环境的真实状态来评判。
01
新功能部署测试
只测试发生变更的那次发布，而非重新测试整个应用：
- 为每个目标建立基线——只有发生变更的部分才会被重新覆盖
- 未发生变更的提交会被短路处理：不扫描，不计费
- 侦察结果延续使用已学到的架构和端点
已上线
02
约束智能体
一个 AI 智能体就是一个带权限的身份，而大多数智能体拥有的权限都超出了任何人的本意：
- 过度代理权与工具滥用测试
- 通过这张图，看清该智能体的身份实际能触及什么
- 授予范围与实际可达之间的差距，正是你要约束的部分
已上线
03
代码修复
一项发现会变成一个由你的工程师审查的变更，而绝非由我们合并：
- 以拉取请求草稿形式提交到你自己代码库的最小补丁
- 依据该发现指明的标识符进行定位——排除第三方引入和压缩后的文件
- 按 CVE 提出依赖更新建议，并导出 VEX 决策
已上线
04
预防与响应
阻止风险代价最低的时刻，是在它产生之前：
- PR 门禁会让可能引入攻击路径的变更不通过
- GitHub Action 为构建设置门禁 — fail-on 可选 critical、high、medium、low 或 never
- 在 Jira 或 ServiceNow 中创建附带完整路径的工单
PR 门禁已上线 · 运行时响应在路线图中
本工具不涉足之处
Redthread 是一款面向预发布环境和源代码的测试工具，而非生产运行时防火墙。可选的 eBPF 传感器只检测，绝不拦截、终止或隔离。实时端点防护（隔离主机、终止进程、隔离文件）通过已连接的合作伙伴引擎运行——该集成已上线，一旦有合作伙伴连接到你的工作区即会激活。准入控制和云护栏仍在路线图中。