概览
扫描器报出四百条结论。按 CVSS 排序不叫分级——严重程度是漏洞的属性，不是你的风险。一个你根本不会调用的依赖里的严重漏洞，比一个面向公网、且存有客户数据的服务上的中危漏洞更不紧急。
这个智能体按你的技术栈来分级：你实际在跑什么，哪些组件暴露在外，哪些持有敏感数据。它给出一份简短有序的清单，写明现在该修什么，并附上每一条排在那个位置的理由。
它更有用的那一半是排除。每一条被搁置的结论都会列出原因——不可达、未暴露、已有补偿性控制、该版本不受影响。这份记录才是把待办堆变成一个能对审计交代的决定，而这恰恰是任何扫描器都给不了的。
价值
~5 actionable
一周的活变成一个上午
五条排好序的事项，而不是四百行。
经得起审计追问
每一次延后都有记录在案的理由。
少打无谓的补丁
力气花在暴露面真正所在的地方。
功能说明
按你的暴露面排序，而不是按 CVSS
是否面向公网、是否持有数据、是否真的可达——这些才是决定真实风险的因素。
排除都带着理由
每一条被搁置的结论都记录了为什么，待办堆因此变成一个站得住的决定。
知道你没在跑什么
针对你技术栈里根本不存在的组件的结论会被排除，而不是排到后面。
认可补偿性控制
一条真正降低暴露面的 WAF 规则或网络边界，会体现在排序里。
判断不了就直说
可达性未知时，它会说明并保守排序，而不是靠猜。
这会改变什么
这会如何改变你的一周
- 它接手的工作
- 判断哪些结论对你的实际部署真正重要。
- 目前由谁完成
- 一位安全工程师，淹没在扫描器的输出里。
- 多久一次
- 每一次扫描。
- 通常的人工投入
- 老老实实分级几百条结论要好几天。
为什么偏偏是网络安全。一份按严重程度排序的扫描结果不是计划。可达性才决定一条严重结论是火情还是脚注。
无人值守运行
由你或某个事件启动，然后自行完成。没有什么需要等人坐到工位前。
每一次都是同一标准
第两百件与第一件用同一把尺子衡量。一致性正是人做不到长期保持的部分。
它无法自行采取行动
漏洞分级智能体 没有任何发送、支出或承诺的途径。正是这个限制，让依据它的输出行动是安全的。
运行方式
该智能体通过 PROMIVO 运行时在服务器端运行。每次运行都会逐步记录，每次工具调用在执行前都会进行权限检查。
- 1输入按智能体的输入结构进行校验
- 2模型claude-opus-5，并自动回退
- 3工具fetch_web_page, extract_structured_data
- 4权限自动执行 READ 级操作；更高的等待你批准
- 5输出符合输出结构的结构化结果
- 6日志记录 token、耗时和每一个步骤
演示
演示数据Illustrative sample output.
输入
{
"stack": [
{
"version": "1.24.0",
"component": "nginx",
"internetFacing": true,
"handlesSensitiveData": false
},
{
"version": "16.2",
"component": "postgres",
"internetFacing": false,
"handlesSensitiveData": true
}
],
"findings": [
{
"id": "CVE-0000-1111",
"severity": "HIGH",
"component": "nginx",
"affectedVersions": "<1.25"
},
{
"id": "CVE-0000-2222",
"severity": "CRITICAL",
"component": "redis",
"affectedVersions": "all"
}
]
}输出
{
"actNow": [
{
"id": "CVE-0000-1111",
"reason": "Affected version is in use and the component is internet-facing, so it is reachable by an unauthenticated attacker.",
"exposure": "Internet-facing",
"component": "nginx",
"recommendation": "Upgrade nginx to 1.25 or later."
}
],
"summary": "One item to act on. The critical was discarded because the affected component is not run here — severity did not decide the ordering.",
"escalate": false,
"disclaimer": "Analysis only — nothing has been changed on any system. Findings are ranked against the stack and exposure you supplied, no exploit code or proof of concept is included, and no system is described as no longer at risk.",
"notApplicable": [
{
"id": "CVE-0000-2222",
"reason": "Redis is not present in the supplied stack."
}
]
}使用条件
集成
无需集成。
开始之前
- 你的技术栈：组件与版本
- 暴露面：哪些面向公网，哪些持有敏感数据
- 需要分级的结论或公告
- 需要 全量访问 套餐或更高
使用场景
每周的扫描输出
把周而复始的一大堆结果变成一条简短有序的队列。
某条具名公告出来了
用推理而不是猜测来回答「这会影响我们吗」。
审计准备
为所有延后项产出理由记录。
价格
常见问题
它会打补丁吗？
不会，也做不到。它只做分析和建议。对运行中系统的任何改动都需要人来做——这条界线由智能体的权限强制执行，而不只是靠它的指令。
它怎么知道某条结论不适用？
依据你描述的技术栈：组件、版本、哪些面向公网、哪些持有敏感数据，以及你的补偿性控制。你的描述不足以判定时，它会直说，而不是自行假设。
它能取代扫描器吗？
不能。扫描器负责发现；它负责决定发现之后怎么办。把扫描器的输出交给它。
评价
客户运行过该智能体后，评价功能将开放。
需要这个智能体换一种做法？
告诉我们要改什么，我们的团队会为您的业务规划一个定制版本。
定制此智能体