你的Vibe Coding產品還安全嗎？我做了個安全審計Skill，讓AI扮演“黑客”，攻擊產品最薄弱的地方...

最近喺一個羣組入面，見到有位羣友話自己個網站俾 XSS 注入攻擊咗，我作為一個小白，都唔係好明呢啲嘢係乜，就用 AI 查咗嚇。

原來 XSS 注入攻擊，即係容許用戶輸入嘅內容直接顯示喺網頁入面，如果黑客輸入嘅係一段惡意腳本，網站都會照樣執行，咁就好恐怖喇，佢可以整一個詐騙連結，又可以整個彈出視窗呃你輸入密碼同手機號碼，仲有可能直接偷你嘅 Cookie，盜你嘅帳號。

於是，我就即刻對自己嘅產品做咗一層檢測，包括之前嘅 AI 排版工具（mocheng.mowan.work）。

當然一般嚟講唔會有人嚟攻擊我哋呢啲小角色，但有句話叫做有備無患。

可能目前大多數人 Vibe Coding 嘅時候都唔會考慮安全防護，通常更加專注於實現功能、做好產品體驗，安全冇小事，一旦真係撞到，損失都幾大㗎。

所以我同 AI 一拍即合，做咗個安全審計 Skill。

我喺 Skill 嘅 Reference 入面有個人設檔案，話俾 AI 知佢係邊個。

一般嚟講，我哋做嘅產品涉及到 Android App、iOS App、網站等等，唔同嘅技術棧漏洞都唔一樣，佢可以自適應檢測，適應各種唔同嘅產品形態。

考慮到而家好多人做 AI 產品，會有提示詞注入攻擊嘅風險，所以加咗防提示詞注入檢測。

下面以我之前做嘅 AI 排版工具做例子，叫佢對呢個項目進行安全審計。

首先佢會對項目嘅技術棧同結構進行掃描，按照既定流程一步步探索：

接下來會出一份初步報告：

佢同我講『項目已經有啲完善嘅風控體系，但需要進一步掃描邊界情況同實現細節。』

我就叫佢繼續進入下一階段。

過咗一陣，審計完咗，會俾我出一份完整嘅審計報告：

可以見到佢都發現咗一啲安全隱患，我就即刻將呢啲問題修復咗。

咁樣以後做產品，我怕安全有問題，就可以召喚呢個 Skill 做做安全審計。

呢個 Skill 我都開源咗，地址喺度：

github.com/limowan/mowan-skill/tree/main/mowan-secure-review

最近在一個羣裏，看到有位羣友提到自己的網站被XSS注入攻擊了，我作為個小白，也不太懂這玩意到底是什麼，就用AI查了下。

原來XSS注入攻擊，就是允許用戶輸入的內容直接展示在網頁裏面，如果黑客輸入的是一段惡意腳本，網站也會原樣執行，那這就很可怕了，它可以生成個詐騙連結，也可以生成彈窗騙你輸入密碼和手機號，還可能直接偷你的Cookie，盜你的賬號。

於是，我就趕緊對自己的產品做了層檢測，包括前段時間的AI排版工具（mocheng.mowan.work）。

當然一般來說不會有人來攻擊我們這種小卡拉米，但有句話叫有備無患。

可能目前大多數人Vibe Coding的時候都不會去考慮安全防護，一般更多專注於實現功能、做產品體驗，安全無小事，一旦真碰上了，損失還是挺大的。

所以我和AI一拍即合，做了個安全審計Skill。

我在Skill的Reference裏有個人設文件，告訴AI它是誰。

一般來說，我們做的產品涉及到安卓App、iOS App、網站等等，不同的技術棧漏洞也不一樣，它能自適應檢測，適應各種不同的產品形態。

考慮到現在很多人做AI產品，會有提示詞注入攻擊的風險，加上了防提示詞注入檢測。

下面以我前段時間做的AI排版工具為例，讓它對這個項目進行安全審計。

首先它會對項目的技術棧和結構進行掃描，按照既定流程一步步探索：

接下來會出一份初步報告：

它跟我說“項目已有一些完善的風控體系，但需要進一步掃描邊界情況和實現細節。”

我就讓它繼續進入下一階段。

過了一會，審計完了，會給我出一份完整的審計報告：

可以看到它還是發現了一些安全隱患的，我就及時把這些問題修復了。

這樣以後做產品，我怕安全有問題，就可以調用這個Skill做做安全審計。

這個Skill我也開源了，地址在這裏：

github.com/limowan/mowan-skill/tree/main/mowan-secure-review