面向边缘设备及其制造商和运营商的渗透测试与漏洞发现服务。
我们根据贵公司事先签署的《测试授权规则》，在实验室或远程环境中，对联网设备的硬件、固件、无线链接、配套应用、云API以及设备端AI进行测试。
我们在 NVIDIA Jetson 中发现了 CVE-2026-24148。
NIST将其评定为9.4级（“严重”），而作为CVE编号机构的NVIDIA则将其评定为8.3级（“高”）。我们已向NVIDIA报告了该漏洞，该漏洞已在Jetson Linux 35.6.4和36.5版本中修复。
我们的测试内容
硬件和固件
调试端口（如 UART、JTAG 和 SWD）、从设备中读取并反编译的固件、安全启动、更新的签名方式，以及存储在电路板上的密钥和密码。
网络与无线通信
设备在网络上暴露的服务，以及其 Wi-Fi、蓝牙低功耗、蜂窝网络和其他无线链接。
配套应用和云API
用于控制该设备的移动应用程序及其背后的云API，包括一个客户的账户是否能够访问另一位客户的设备。
设备端 AI 模型
该模型是否可以从设备中被复制、通过精心构造的输入进行欺骗、在作为语言模型时被提示词注入所操控，或者被替换为经过篡改的文件。
从首次联系到重新测试
定义测试范围
我们将就测试范围达成一致，明确哪些设备、固件版本、应用程序和云服务将纳入测试，哪些将排除在外。
合同与保密协议（NDA）
首先签署保密协议，随后签订合同以确定价格、责任及保险条款。
已签署的《测试授权规则》
测试范围、测试时间窗口、允许使用的技术、联系人及终止程序，须由对范围内的所有设备拥有管理权限的人员签署。在签署该协议之前，任何测试均不得开始。
测试
我们在实验室对您寄送的设备进行测试，这些设备从送达至退回均有记录；或通过您提供的连接进行远程测试，测试始终在已签署的测试时段内进行。若发现关键漏洞，我们将立即向您报告。
报告
针对每个发现：其严重程度、证据、复现步骤以及修复方法。随后召开会议，逐项讨论报告内容。
重新测试与漏洞披露
对已修复内容进行复测已包含在费用中。若发现其他公司组件中的缺陷，将在征得您同意后向该供应商报告。
已签署的《测试授权规则》
测试范围、非测试范围及测试时间
测试范围内的设备、固件版本、地址、应用程序和云服务，以及被排除在外的项目，还有测试可能进行的日期和时间。
我们可做与不可做之事
每项技术占一行，标注为“允许”、“不允许”或“仅在当时获得书面批准后方可进行”。可能损坏设备的测试仅可在您专门为此预留的设备上进行。
谁可以终止测试，以及如何终止
任何一方均可通过致电对方的紧急联系人来终止测试。测试仅在您书面确认后方可恢复。
对测试范围内所有设备拥有管理权限的人员
未经所有者同意对系统进行测试，可能构成违反英国《1990年计算机滥用法》和《土耳其刑法典》的违法行为，因此必须在签署该协议后方可开始测试。当设备或服务归他人所有（例如云服务提供商或您的客户之一）时，也需附上其同意书。
买家常问的问题
谁需要签署《测试授权规则》？
贵公司中对测试范围内的所有设备和服务拥有管理权限的人员，通常为总监或安全负责人。如果某项服务由云服务提供商托管，或者某台设备属于贵公司的客户，我们会在测试前确认其授权。
测试会损坏我们的设备吗？
某些硬件测试可能会。此类测试仅在《测试授权规则》中专门预留的设备上进行，其余测试均采用不影响设备正常运行的方式进行。
如果发现我们未生产的芯片或组件中存在漏洞，该怎么办？
我们会首先通知您。在征得您同意后，我们会以保密方式向该组件的供应商报告该漏洞，并申请 CVE 标识符。除非您同意，否则贵公司的名称不会出现在任何公开报道中。
这是否与《欧盟网络弹性法案》有关？
自 2026 年 9 月 11 日起，在欧盟销售产品的制造商必须在 24 小时内报告其产品中被积极利用的漏洞，该法案的全部要求将于 2027 年 12 月 11 日起正式生效。我们的报告记录了测试内容、发现的漏洞以及已修复的情况。