AI 辅助应用安全自检指南

解决什么问题

应用发版前常遇到两类问题：一是安全测试依赖外部渗透团队，反馈慢；二是团队自己扫得不准，要么漏掉业务逻辑漏洞，要么被误报淹没。这个技能把“AI 代理式渗透测试”的思路放进开发流程：代理按攻击者路径探索 注入、越权、敏感信息泄露 等风险，再把结果分级，方便研发同学做发布前自检。它的价值不是替代安全专家，而是让守方更早看见弱点。

技能如何工作

核心是防御性自检五步法：

• 明确授权边界：只处理自有或已书面授权目标，留存授权记录。
• 资产梳理：先列出端点、接口和依赖，避免代理盲扫。
• 代理探索：让 AI 代理模拟攻击路径，并记录每一步。
• 分级定级：按 CVSS 和影响面排序，优先处理认证绕过、RCE、敏感数据等问题。
• 修复与回归：给出补丁建议，并在复查中确认同一路径不再复现。

技能还给出常见陷阱提醒：不要越权扫描，不要被低危或误报淹没，不要只出报告不跟进，也不要直接在生产环境验证。

适用边界

它只适用于授权范围内的防御性安全测试。对第三方系统扫描可能违法。AI 输出不是法律意见；是否合法、是否暂停发布等判断，应以官方或持牌安全机构口径为准。预发或隔离环境更适合演练，生产环境需要先固定范围、速率和回滚措施。