为您用 AI 上线的应用而生

AI 帮您做好了应用。
我们来检查它是否泄露。

数以百万计的人在发布并非完全由自己编写的应用——这些应用会泄露 API 密钥、暴露数据库、毫无防护地运行。粘贴一个 URL，几秒钟即可获得安全报告。

无需注册 实时结果 具体修复方案

免费 · 无需注册。轻量扫描是被动的（相当于查看网页源代码）。请仅扫描您自己的应用或已获授权测试的应用。

我们能发现什么

Vibe Coding 应用泄露数据的六种方式

泄露的 API 密钥与机密

我们读取您的页面和每个 JavaScript 文件，匹配 50 多种密钥格式——OpenAI、Anthropic、Stripe、AWS、Supabase、GitHub、数据库 URL 等。

Supabase 与 Firebase 规则

Vibe Coding 的头号泄露源。我们识别您的后端，并检查任何人是否无需登录即可读取数据表、集合或文件。

认证与会话缺陷

缺少 HttpOnly/Secure/SameSite 的 Cookie、危险的 CORS、不安全的登录表单，以及可绕过所有防护的服务密钥。

开放端点与泄露文件

我们查找 .env 文件、暴露的 .git 目录、数据库转储、管理控制台以及绝不应公开的配置文件。

实时 CVE 与恶意软件情报

库与锁文件实时对照 OSV.dev、CISA KEV 和 EPSS 检查，另有 960 多项只读 CVE 与暴露测试，且每天都在增长。

AI、MCP 与 CI/CD 风险

浏览器中的 LLM 密钥、无认证的 MCP 服务器、Next.js 中间件绕过，以及 GitHub Actions 中的脚本注入。

工作原理

三步从 URL 到报告

  1. 01

    指定目标

    粘贴您线上应用的 URL，或一个 GitHub 仓库——公开仓库，或使用只读令牌的私有仓库。完全免费，无需注册。

  2. 02

    轻量或深度爬取

    SafeVibe 像访客一样浏览您的网站，在分析每个页面时实时显示问题。当您证明网站归您所有后，深度扫描会追加主动探测。

  3. 03

    获取报告

    一份带评分的报告，包含严重程度、已脱敏的证据，以及每项发现的确切修复方法。

自我学习

每天都在进步的扫描器

SafeVibe 维护着一个永久的安全测试库。已知漏洞只会被转换成测试一次，采用确定性代码——不用 AI，不靠猜测。每小时只补充新增内容。AI 只用于研究那些还没有人写出测试的漏洞。

8,886
公开检测模板（只分析一次）
965
目录中的只读测试
52
密钥特征
0
AI 已研究的新 CVE
  1. 1

    收集

    SafeVibe 每小时读取公开漏洞来源：ProjectDiscovery nuclei-templates、CISA 已被积极利用漏洞目录、OSV.dev 和 FIRST EPSS。

  2. 2

    一次转换

    每个漏洞只转换成测试一次并记录在册。任何会攻击网站的内容——漏洞利用、恶意载荷、暴力破解——都会被永久拒绝。

  3. 3

    增量增长

    后续同步只处理来源中新增或变更的内容，移除已删除的测试，并更新哪些漏洞正在被积极利用。

  4. 4

    AI 只管新内容

    新发布且没有测试的漏洞交给 AI 研究员，每个只处理一次。每项提案在进入您的扫描前都会经过审核。

每项测试都有防护

仅一次 GET 或 HEAD 请求，无请求体、无攻击载荷，采用产品特定的判断条件，发布前运行完整测试套件。

扫描时更智能

SafeVibe 会识别您的技术栈（Next.js、Supabase、WordPress…），只运行适用的测试。单页应用的回退页面绝不会被算作发现。

另有实时情报

每次扫描都会对照 OSV.dev 检查库；被积极利用的 CVE 会被优先标注，并按被利用概率（EPSS）排序。

浏览测试库 →
AI

Claude，用在真正有价值的地方

SafeVibe 通过 Anthropic 官方 SDK 使用 Anthropic 的 Claude Opus 5.5（模型 claude-opus-5-5），响应受模式约束。它有两项职责——且从不重复检查测试库中已有的内容。

幕后 · 每日

AI 威胁研究员

  • 选取新加入 CISA KEV 且尚无测试的 CVE，并每周在网上搜索 Vibe Coding 技术栈中新发布的漏洞。
  • 阅读安全公告并起草被动测试——或解释为何无法安全测试。
  • 每个 CVE 只研究一次；只有出现在真实搜索结果中的 CVE 编号才会被接受。
  • 其提案遵循比社区测试更严格的规则，并在发布前经过审核。
扫描期间 · 可选，默认关闭

AI 分析师

  • 审查您网站的代码，寻找规则发现不了的逻辑缺陷：仅在浏览器端的授权、隐藏的管理 API、未过滤的数据库查询。
  • 发送前会对机密信息脱敏；您网站的内容被视为不可信（防范提示词注入）。
  • 只有引用了您文件中真实存在的代码的发现才会被保留。
  • SafeVibe 会在不带凭据的情况下自行测试被标记的 API，只有响应证明存在泄露时才会报告。
AI 绝不会做的事： 攻击网站、发送恶意载荷、自行决定发布内容、查看您的机密，或重复研究已经研究过的漏洞。

免费，且为负责任的使用而设计

所有扫描均免费且无需注册。被动扫描只读取任何浏览器都会下载的内容。深度扫描会发送主动探测，因此只在网站所有者发布了 SafeVibe 验证令牌后运行，服务器会在每次深度扫描开始时重新验证。GitHub 仓库无需验证；私有仓库使用您提供的只读令牌。

常见问题

关于 SafeVibe 的问题

SafeVibe 是什么？

SafeVibe 是一款免费的安全扫描器，面向使用 AI 工具构建的应用（Vibe Coding）。它会分析线上网站或 GitHub 仓库中泄露的机密、开放的数据库规则、存在漏洞的库、已知 CVE 和高风险配置，并说明如何修复每项发现。

SafeVibe 免费吗？

是的。所有扫描类型都免费且无需注册：网站扫描、对您自有网站的深度扫描，以及公开或私有的 GitHub 仓库扫描。

SafeVibe 检查哪些内容？

泄露的 API 密钥（OpenAI、Anthropic、Stripe、AWS、Supabase…）、Supabase 行级安全与 Firebase 规则、Cookie 与 CORS、泄露的 .env 或 .git 等文件、管理面板、存在漏洞的 JavaScript 库、960 多项 CVE 与暴露测试、GitHub Actions 风险以及恶意 npm 包。

扫描我的网站安全吗？

安全。轻量扫描只读取浏览器本来就会下载的内容。深度扫描发送只读探测，并且只有在您通过 meta 标签、/.well-known 文件或 DNS 记录证明网站归您所有后才会运行。任何检查都不会修改数据或发送攻击载荷。

SafeVibe 能扫描私有 GitHub 仓库吗？

可以。创建一个对该仓库只有只读权限的 GitHub 细粒度令牌，并粘贴到扫描器中。它通过 HTTPS 在请求体中发送，仅在扫描期间于内存中使用，绝不会被存储或记录。

SafeVibe 如何保持最新？

每小时同步会读取公开检测模板和 CISA 已被利用漏洞列表。每个漏洞只转换成测试一次并进入永久目录；只有新增或变更的内容才会被重新处理。

SafeVibe 使用 AI 吗？我的代码会怎样？

AI（Anthropic 的 Claude）在后台研究最新漏洞。扫描期间可选的 AI 分析师默认关闭；如果启用，发送客户端代码前会对机密脱敏，并且 AI 的每项发现都会对照代码核实。