一次扫描，三份交付物。

每一次完成的扫描都会生成一份专业、按设计即如实的报告，其依据为 PTES、NIST SP 800-115、OWASP WSTG、CREST 和 CVSS——因为需要证明你做过测试的人，很少是被允许看到我们如何攻破系统的人。

开始免费评估阅读文档

3 个层级

证明函、完整报告、机器可读副本

6 个框架

纳入合规交叉映射，另含 EU AI Act

CREST / OSCP

持证人工审阅者对报告签字确认——任何扫描均可选用

证明函 GET /api/runs/<id>/attestation · 所有者或管理员

证明函——按设计即已脱敏

法定名称、服务方及签名、日期、范围摘要、方法论和各严重级别数量。绝不包含 PoC、端点或任何单项发现的细节。

包含内容

法律实体与服务方签名包含

测试时间窗口与评估类型包含

各严重级别数量包含

概念验证、端点、发现细节不包含

机器可读副本

GET /api/runs/<id>/compliance.json
→ Vanta · Drata · Secureframe
evidence against a control, never a pass

无需往返签署 NDA，即可提交给 TPRM 审查不含漏洞利用细节

一次扫描，三类受众

同一份评估，按读者脱敏。

第 1 层

证明函（Letter of Attestation）

采购 · TPRM · 客户

第 2 层

完整合规报告

工程团队 · 签署 NDA 的审计师

第 3 层

JSON 副本

Vanta · Drata · Secureframe

深色条并非设计点缀——证明函确实省略了 PoC、端点以及每一项发现的细节，因此可以安全地对外发送。

每份交付物面向谁

证明函（Letter of Attestation）

面向下游客户、采购和第三方风险管理。已脱敏并签名，不含任何漏洞利用细节——因此无需逐段脱敏即可流转。

完整合规报告

面向工程团队及签署 NDA 的审计师：在一份文档中包含执行摘要和完整技术报告、交战规则、严重级别热力图、单项发现细节，以及分阶段的修复路线图。

JSON 副本

以结构化 JSON 呈现的同一份评估，可直接导入 Vanta、Drata 或 Secureframe，作为支撑某项控制的证据，而不是一份需要有人重新录入的 PDF。

一项发现实际包含哪些内容。

绝不捏造任何针对环境调整的向量

字段

说明内容

CVSS

对依赖项 CVE 采用真实的公告评分；否则按 CWE 采用 CVSS-B 类别基础向量，据此计算分数并标注为类别基础分。行为类发现按严重级别评定。

攻击成功率

经测量时为“成功次数/试验次数”——否则为“单次观测（非统计抽样）”。

复现上下文

时间戳和目标，以及引擎记录后的模型、采样和 RAG 状态。

可追溯性

发现 → OWASP LLM Top 10（2025）→ MITRE ATLAS → NIST AI RMF、ISO 42001、EU AI Act 第 15 条。

人工复核

仅在确有人工复核时才注明审阅者。否则报告会注明“未进行人工复核”。

合规交叉映射：SOC 2 · ISO 27001 · ISO 42001 · NIST AI RMF · NIST CSF 2.0 · EU AI Act。作为支撑某项控制的证据呈现——绝不表述为通过认证。

审计师和客户都能认可的证据。

查看示例报告