// faq
你可能想问
关于授权、业务影响与交付的常见问题。没找到答案？直接邮件我们。
渗透测试需要什么前提？
你必须对目标资产拥有所有权或书面授权。下单后我们会与你签署《渗透测试授权协议》，明确测试范围与边界，然后才开始测试。
测试会影响我的业务系统吗？
所有攻击动作在独立沙箱容器中执行，并受速率控制约束；利用验证遵循 No PoC No Finding 原则，以最小影响拿到利用证明即停。
交付物有什么？
HTML / Markdown 双格式渗透测试报告（含审批审计记录）、ATT&CK / WSTG / Kill Chain 覆盖矩阵、SARIF 2.1 导出文件，以及修复建议，并含一次复测。
测试周期多久？
测试周期依范围评估确定，通常 5–10 个工作日。加急需求可以沟通。
我需要提供什么信息？
测试范围（域名 / IP / 网段）、业务背景、认证凭据（如需登录后测试）以及紧急联系人。
数据安全如何保障？
测试过程数据与结果加密存储，报告交付后按约定脱敏或销毁，可签署 NDA。
和直接用扫描器有什么区别？
扫描器只会执行规则；Gabala 的多 Agent 战队会规划、决策、组合攻击链并验证每一条发现，安全专家全程监督纠偏、关键节点亲自执行高级攻击——报告里没有未经验证的“疑似漏洞”。
和安全公司或其他渗透测试团队相比，优势在哪里？
三点：一，交付模式——安全公司按人天卖时间，Gabala 按结果收费，未发现可验证漏洞分文不取；二，火力配置——一个订单出动 6 个 AI 攻击角色 + 1 位资深专家的完整战队，AI 全天候推进、专家在关键节点亲自出手，覆盖面与攻击深度远超单兵作战；三，交付质量——No PoC No Finding，每条发现都有利用证明、复现步骤与专家复核，报告可直接进入修复流程。
人类专家在测试里扮演什么角色？
AI 战队承担高强度、规模化的执行：侦察、扫描、利用验证全天候推进。安全专家全程在环：监督 AI 每一步决策、纠正误判，并在 AI 触及瓶颈时（如复杂 WAF 绕过、逻辑漏洞利用）亲自设计并执行高级攻击手法。每条最终发现都经专家复核确认。
如何付费？
我们先测试、按结果收费：未发现可验证漏洞，分文不取。支持线下付款：对公转账、支付宝、微信。下单后团队会与你联系签约与付款事宜，支持普票与专票。