AI审计

安全工程师的日常困境

安全学习者最常遇到的五个问题：不知道从哪学起、上线前不知道查什么、不懂合规边界、被攻击后不知道如何应急、配置是否安全没有评判标准。这些场景的共同点是——有模糊的安全意识，却没有结构化的交付物。

AI审计正是为这个缺口设计的。它不是工具集合，也不是 exploit 手册，而是一套围绕「AI审计」场景展开的方法论工作台。

核心能力与工作方式

技能提供 5 个能力模块，每个模块通过触发词激活：

• 安全测试方法论：输入授权范围，产出测试清单+边界声明
• 风险自查：输入资产+暴露面，产出基线检查表+整改项
• 应急响应：输入事件现象，产出处置流程+止血动作

关键工作流包括三套：上线前自查（资产盘点→暴露面→配置→依赖→加固）、入侵应急（止血→取证→溯源→清除→复盘）、安全编码（识别风险点→选安全 API→密钥外置→最小权限→静态扫描）。

每个工作流都附带 常见卡点 / 自救 提示，例如「慌乱删证→先保全证据」「密钥硬编码→移至密钥管理」。

适用边界与注意点

• 不替代专业资质判断，不接入付费服务，不涉及任何外部账号或密钥
• 只讲方法论与防御，不提供可用于实际入侵的 exploit 步骤
• 所有安全测试必须获得 书面授权，明确目标、范围、时间窗与禁止项
• 内容完全免费，输出物是结构化文档、模板和清单，可直接使用或微调
• 发现漏洞应负责任披露，不利用、不传播

这套技能适合安全工程师、开发、运维、合规学习者和 CTF 爱好者。如果你需要在授权范围内进行安全测试、上线前自查或应急响应，它能提供可直接落地的结构化指引。