AI 资源库 · 已整理 3 项
查看与安全测试相关的 AI 资讯、工具、Skill、工作流和开源项目。
移动应用安全测试（MAST）是在 App 发布前检查应用代码、内置 SDK 和运行时行为中漏洞的做法。已发布的应用相当于任何人都能下载分析的二进制文件，硬编码的密钥等于公开。MAST 把静态分析（SAST）、第三方依赖检查（SCA）和动态分析（DAST）结合起来，贯穿每次构建，而不是上线前只做一次渗透测试；OWASP MASVS 是参考标准，OWASP Mobile Top 10（2024 年更新）是常见的风险清单。文章还列出评估测试工具的五个标准，如覆盖二进制与依赖、按可达性排优先级、融入 CI/CD、跨扫描器结果去重、提供含预编译 SDK 的 SBOM。需注意文中未点名具体工具产品，也主要引用了一项 2026 年调查称 86% 的工程负责人希望安全检查更自动化。
提供的材料未提及具体可用工具。
有人拿同一个漏洞百出的网站做测试，一边用 Evo COS 这种直接去打活网址的工具，一边用 Claude Security 这种只读代码找漏洞的工具。结果 Evo COS 能证明 15 条攻击链里的 10 条确实能打通，比如先利用一个漏洞拿到签名密钥，再用它伪造管理员身份接管后台；而只读代码的模型虽然也能发现同样的两个漏洞，却无法证明它们能被串起来真正攻破系统。这说明看代码和打活系统是互补的两件事，想真正评估风险，两边的活都得干。
OpenAI 前安全负责人 David Robinson 接受采访时说，过去发布一个新模型要从头训练，往往要花好几个月，所以一年只发几次；现在基础模型只是其中一层，上面还能加推理训练、新工具接入和编程智能体，改起来快得多，不必每次重训。他形容这种节奏让公司“每周二都在发布新能力与新风险”，并说安全报告已经跟不上，理想的替代品是实时更新的安全仪表盘。他提到 OpenAI 内部编程智能体用量激增，研究团队用智能体的算力比年初多了上百倍，Codex 甚至取代了内部求助频道。对读者来说，这解释了模型迭代为何越来越快、安全测试为何越来越难跟上，也让人关注智能体能自主操作文件、调用 API 后，风险会被放得更大。