01
应用变了
对外的 Web 与 API 越开越多、业务不断上云；再叠加大模型应用、智能体、RAG 知识库与 MCP 工具，要守的东西一直在变多。
攻击面在膨胀，清单永远是旧的
WHY NOW
三件事变了，红队却没变
应用类型更丰富、攻击方已经 AI 化，而红队还是人力密集、周期以周计。
02
攻击变了
攻击方先一步用上 AI，攻击门槛被拉平；从发现资产到造成影响，节奏从天级压到小时级，防守侧的排期跟不上。
对面已经在用 AI，我们还在排期
03
红队没变
仍然人力密集：专家稀缺、一次评估动辄数周、覆盖靠抽样；面对 Agent、RAG、MCP 这类新系统，连成熟的测试方法都还没有。
评估以周计，风险以小时计
ATTACK SURFACE
旧的在扩张，新的是全新的
传统攻击面一直在长，AI 原生攻击面又是一整套旧方法看不见的东西。
传统攻击面 · 一直在扩张
- 对外暴露面
- Web 应用与 API
- 云上业务系统
- 内网与域环境
- 主机与中间件
- 身份与账号
AI 原生攻击面 · 全新的一整套
- 提示注入与越狱
- 敏感信息泄露
- 目标劫持与工具滥用
- 记忆与上下文投毒
- 知识库检索污染
- MCP 工具与接线层
- 风险常从传统入口进入，在 AI 系统里被放大，两类攻击面必须放在一起看
- 两拨人、两套工具、两份报告，风险对不上号，也没人管总账
- 同一套授权、审批、审计与报告，结果才交得出手
TWO ENGINES
一个平台，两个 AI 红队引擎
两个引擎不是两个产品，而是同一底座上的两种能力：共享授权门禁、审批、审计、知识库与报告。
AI 驱动的传统红队
用 AI 编排，评估仍在扩张的传统攻击面
- 覆盖范围
- 对外暴露面 · 主机 · Web 与 API · 云 · 内网与域
- 对标标准
- MITRE ATT&CK
- 测试能力
- 内置 150+ 项安全测试能力，覆盖评估全链路
- 执行方式
- AI 自主编排，高风险动作默认人工审批
AI 原生红队
专门评估旧方法看不见的 AI 原生攻击面
- 覆盖范围
- 客户自有的 LLM 应用 · Agent · RAG · MCP
- 对标标准
- OWASP LLM / Agentic / MCP Top 10
- 测试能力
- 模型层探针 · 多轮动态对抗 · 协议层扫描与差分
- 执行方式
- 只读 / 主动分级执行，默认安全
WORKFLOW
一次红队：从授权到交付
六个阶段串成一条主线，每一步都在授权作用域内留痕。
01
授权
绑定授权书与目标白名单，越界即阻断
02
规划
自然语言下发意图，AI 拆解评估计划
03
执行
隔离沙箱内调用测试能力，高风险动作人审
04
验证
反幻觉验证器二次确认每一条发现
05
映射
自动对齐 ATT&CK 与 OWASP 条目
06
交付
报告与修复建议推送至 SIEM / 工单
ARCHITECTURE
一个底座，两个引擎
能力以标准协议接入，而不是把每样东西都重新造一遍：新增能力不改平台代码，也不锁定单一厂商。
治理层授权门禁 · 操作边界与一键急停 · 审批 · 全量审计 · 多租户隔离
编排层多智能体编排（深度单点 / 规划执行 / 多智能体协作）· 可视化流程编排 · 风险路径图谱与评分
测试执行层 · A每次任务一个独立临时沙箱；网络只放通授权目标，任务结束即销毁
AI 靶标测试层 · B模型层探针、多轮动态对抗、协议层扫描；默认只读、分级执行
知识层ATT&CK 与 OWASP 条目映射 · 用例与探针库 · 修复建议 · 组织经验回流
数据层资产 / 发现 / 证据 / 报告，可私有化持久化，支持合规留存与事后取证
ENGINE B
AI 原生攻击面：三层逐条对标
按 OWASP 三张清单组织测试用例，报告直接对齐条目编号。
提示注入
检测直接注入，以及经文档、网页、邮件进入的间接注入；越狱模式库叠加多轮诱导。
敏感信息泄露
检查模型在诱导下是否输出个人信息、密钥与内部数据。
系统提示泄露
检查系统提示词与内部约束是否会被诱导泄露。
向量与嵌入弱点
验证知识库能否被写入污染内容并持续影响回答。
无限消耗
验证是否存在可被低成本触发的高成本调用路径。
持续回归
用例沉淀进流水线，模型或提示词变更后自动重跑。
目标劫持
检测输入或检索内容能否诱导 Agent 偏离既定目标。
工具滥用
观测 Agent 是否会越权或以危险方式调用工具。
身份与权限滥用
检查 Agent 的凭据与作用域是否可能被越界使用。
记忆与上下文投毒
验证长期记忆与检索上下文被污染后的跨会话影响。
智能体间通信
检查多 Agent 协作链路的通信与身份校验是否可靠。
安全默认
主动测试须绑定授权作用域并在隔离沙箱内执行，涉及真实工具调用默认人审。
工具描述投毒
静态解析工具描述与接口定义，命中注入模式即告警。
隐藏字符混淆
字符级扫描零宽字符、双向控制符与同形字符，输出可视化差异。
过度权限
比对工具声明能力与实际用途，逐项标注越权点。
密钥与信息暴露
扫描资源与提示词中的密钥、内网地址与账号信息。
Rug-Pull 突变
与基线快照逐项差分，获批后定义被改动即告警。
影子 MCP
授权清单与实际发现端点做差分，列出未登记的服务器。
安全默认：MCP 层测试默认只读，只做连接、列举、读取与快照差分，不调用、不修改目标工具；动态探测须显式开启并绑定授权作用域。
COVERAGE
四层攻击面，一套对标
四层共享同一套授权门禁、审批、审计、知识库与报告：这是「平台」与「工具集」的区别。
| 层级 | 评估对象 | 对标标准 | 测试手段 |
|---|---|---|---|
| 基础设施层 | 对外暴露面 · 主机 · Web 与 API · 云 · 内网 | MITRE ATT&CK | 150+ 项安全测试能力 |
| 模型层 | LLM 应用与对话接口 | OWASP LLM Top 10 | 模型层探针 + 回归用例 |
| 智能体层 | Agent 与多 Agent 协作 | OWASP Agentic Top 10 | 多轮动态对抗 |
| 协议层 | MCP 服务器与工具 | OWASP MCP Top 10 | 协议层扫描与差分（默认只读） |
- 150+
- 安全测试能力
- 120+
- 模型层探针
- 3张
- OWASP 对标清单
- 6类
- MCP 层检测项
GOVERNANCE
企业级治理：先授权，后行动
自主 Agent 加安全测试工具是高风险组合，治理决定它能不能进企业。高风险动作默认人审，而不是默认放行。
授权门禁
每次任务强制绑定授权书与目标白名单，作用域下沉到每一次工具调用，越界自动阻断。
操作边界与一键急停
规则引擎约束每一步动作的边界；高风险动作默认走人工审批，并提供全局一键急停。
完整证据链
每一次工具执行、每一个出站连接全量审计，带时间戳、可复现，支持合规留存。
数据不出域
支持本地大模型推理，敏感提示与业务数据留在自有机房，可完全离线运行。
反幻觉验证
每条发现都携带证据并经二次验证，没有证据的推测不会进入交付物。
RBAC 与多租户
基于角色的细粒度访问控制；不同任务与租户之间彻底隔离、互不可见。
DELIVERABLES
每次评估，交付什么
结果要能被验收、被复现、被追责，这才是红队「可交付」的定义。
执行摘要
面向管理层，一页讲清总体风险态势与最高风险路径。
发现明细
证据、复现步骤、严重度与置信度，并映射到标准条目。
风险路径图谱
跨会话关联的风险路径与整体评分，把零散发现串成完整链路。
修复建议
取自知识库的针对性缓解措施，按优先级排序，可跟踪责任人与期限。
审计与证据
完整操作日志与证据留存，等保与内审都拿得出材料。
一键对接
结果推送 SIEM 与工单系统，从「发现」闭环到「整改完成」。
DIFFERENTIATION
为什么是这一个平台
攻击面覆盖靠 AI 编排，可交付性靠内建治理。
对比单点越狱 / 提示测试工具不止测模型，而是覆盖模型、智能体、MCP 接线层与传统基础设施的完整攻击面。
对比传统人工红队服务AI 编排把评估周期从周级压到分钟级，并且可持续、可回归。
对比纯自动化漏扫内建授权门禁、审批、证据链与反幻觉验证，结果可交付、可审计。
对比拼凑起来的自动化脚本一个平台统一治理与报告，开放集成、不锁定单一厂商。