动态测试

前沿模型发现了漏洞，但只有攻击者找到了攻击链

有人拿同一个漏洞百出的网站做测试，一边用 Evo COS 这种直接去打活网址的工具，一边用 Claude Security 这种只读代码找漏洞的工具。结果 Evo COS 能证明 15 条攻击链里的 10 条确实能打通，比如先利用一个漏洞拿到签名密钥，再用它伪造管理员身份接管后台；而只读代码的模型虽然也能发现同样的两个漏洞，却无法证明它们能被串起来真正攻破系统。这说明看代码和打活系统是互补的两件事，想真正评估风险，两边的活都得干。