01 / RED TEAM
紅隊演練
以約定情境，從攻擊者視角檢驗 AI 應用與 Agent。目標、允許手法與停止條件寫在交戰規則裡。
WHAT WE TEST服務內容
三種工作，依授權範圍組合。
不是固定套餐。沒有寫進範圍的系統，不因技術上連得到就開始測。
02 / PENETRATION TEST
滲透測試
在授權標的上驗證可被利用的路徑，包含周邊 API 與身分驗證。只蒐集說明風險所需的證據。
03 / SECURITY ASSESSMENT
資安檢測
針對 LLM、RAG 與 Agent 功能，檢視工具濫用、提示注入與資料外洩。檢測項目以書面範圍為準。
授權範圍可包含
- LLM、RAG 與 Agent 功能
- 工具濫用
- 提示注入
- 資料外洩
- 周邊 API 與身分驗證
上列項目納入該次書面範圍才會測。紅隊演練、滲透測試、資安檢測與弱點複測都依範圍報價。
依範圍報價
網站不公布價目。確認標的、環境、時間窗與是否包含弱點複測之後，再以書面報價。
RULES BEFORE TOOLS方法論與流程
五個步驟，順序不調換。
先界定範圍與授權，再測試、出測試報告，最後做弱點複測。
範圍界定
確認標的、環境、角色、目標與排除項目。
授權
完成書面授權與交戰規則後，才開始測試。
測試
只在約定時間窗與允許手法內驗證。
測試報告
說明發現、影響，並提出修補建議。
弱點複測
修補後依約定項目再驗證。
SCOPE AND PERMISSION測試範圍與授權
三件事寫清楚，才開始。
交戰規則、書面授權，以及第三方託管資產的同意或政策。
01 / ROE
交戰規則（RoE）
書面載明標的、環境、時間窗、允許手法、禁止事項、停止條件與緊急聯絡人。項目不齊，不開始測試。
02 / AUTHORIZATION
書面授權
由對標的有權限的企業或機關授權。能連上系統，不代表可以測。
03 / HOSTED ASSETS
第三方託管資產
標的若由託管業者代管，需取得託管業者同意，或依該業者允許測試的政策辦理。同意或政策未完成前，該資產不納入範圍。
先給範圍，不要給秘密。
初次聯繫請說明標的類型、你與標的的權利關係，以及希望確認的問題。請勿提供密碼、API 金鑰、客戶個資或未公開漏洞細節。
DELIVERABLES交付物
測試報告與修補建議。
報告歸客戶。歸客戶的範圍不包含程式碼。
BELONGS TO THE CLIENT
歸客戶
- 該次測試報告
- 對應的修補建議
- 書面約定的弱點複測紀錄
NOT INCLUDED
不包含程式碼
測試報告與修補建議歸委託的客戶。這項歸屬不包含程式碼，也不包含檢測工具，以及書面沒有約定交付的其他檔案。
- 程式碼
- 檢測工具
- 書面未約定交付的檔案
個別契約若另有約定，以書面為準。弱點複測怎麼做
VERIFY THE FIX弱點複測
修補之後，只複核約定的項目。
複測確認已修補的項目是否仍然成立，不自動擴大標的、環境或手法。
會寫明的狀態
- 已修補
- 部分修補
- 需要再確認
不在原複測裡的事
新標的、新環境或新的手法，需另行書面授權，並依範圍報價。複測次數與是否另計，寫在書面約定裡。
DE-IDENTIFIED OUTLINE報告範例結構
這不是任何客戶的測試報告。
下面只有章節大綱，沒有真實客戶資料，也沒有真實發現。
- 01
文件資訊
不記載客戶名稱、統一編號、系統網址、帳號與聯絡人。
- 02
目的與標的類型
只寫類型，例如內部知識問答 Agent。這是類型舉例，不是特定客戶。
- 03
範圍、排除項目與環境
列出本次納入與明確排除的項目。
- 04
授權與交戰規則摘要
摘要書面授權、時間窗、允許手法與停止條件。
- 05
方法
寫明本案實際採用的紅隊演練、滲透測試或資安檢測。
- 06
發現彙整欄位
編號、位置類型、風險說明、影響、重現條件、修補建議。
- 07
修補建議
對應到委託方可以執行的改善方向。
- 08
弱點複測
項目、複測結果、狀態。
- 09
限制與未測項目
說明這次沒有測、也不能從報告外推的部分。
此大綱不能當成測試報告使用。正式測試報告只提供給該案委託方。
民間企業與政府機關都可以委託嗎？
可以先討論。委託方必須有權授權該標的。政府採購案要繳哪些文件、如何驗收，以該案招標文件為準。本頁說明服務做法，不取代投標文件。
如何報價？
依範圍報價。標的、環境、時間窗、允許手法，以及弱點複測是否包含，都在報價前確認。網站不公布價格。
會直接測試正式環境嗎？
未書面約定前不會。正式環境若要納入，必須寫進授權與交戰規則，並約定時間窗與停止條件。
託管在第三方的系統可以測嗎？
第三方託管資產需取得託管業者同意，或依該業者允許測試的政策辦理。只有委託方同意還不夠。託管端的同意或政策依據還沒有時，該資產不開始測試。
測試報告歸誰？裡面包含程式碼嗎？
測試報告與修補建議歸委託的客戶。歸客戶的範圍不包含程式碼，也不包含檢測工具，以及書面沒有約定交付的其他檔案。
弱點複測怎麼進行？
委託方完成約定修補後，依原書面範圍複測那些項目，並記錄結果。新的標的或新的手法不在原複測裡，需另依範圍報價。
可以先寄漏洞細節或帳號來估價嗎？
請不要。聯絡表單與初次郵件只需要標的類型、權利關係與想確認的問題。密碼、API 金鑰、客戶個資與未公開漏洞細節，都不要附上。
公開的 CVE 與 HackerOne 是翔馳的實績嗎？
不是。那是創辦人個人研究經歷，不是公司實績，也不代表客戶關係。本頁不列件數或金額。
MAKE THE NEXT MOVE開始一個合作
把標的與授權關係先寫下來。
用聯絡表單說明想確認的問題。費用依範圍報價。請勿附上密碼或未公開漏洞。