写代码的门槛没了，安全的门槛还在
现在大量代码是 AI 写的。AI 能把功能跑通，却不会替你想谁能动钱、谁能越权、出了事用户怎么办。用 AI 写代码的项目越多，上线前的审计就越重要。
写代码的人变了
很多项目方不读、也读不懂 AI 写出来的代码。代码里到底有什么，只有审计能告诉你。
AI 的盲区正好在安全
AI 按需求写功能，权限、对抗、边界情况它不会主动考虑；写出来的代码看起来很像是对的，更难靠肉眼发现问题。
改代码的速度变了
AI 改一版代码很快，每改一次都可能带进新问题。审过的那一版，和真正上线的那一版，必须对得上。
出事的代价没变
链上交易不可撤回，用户数据泄露了也收不回来。
整套审计，围绕 AI 生成的代码而设计
审查重点
放在 AI 写代码最容易漏掉的地方：权限、对抗、边界情况、外部依赖、密钥和配置。
报告写法
写给不读代码的人看。结论、风险、要做的决定用清单列出，几分钟读完。
修复交付
修复规格书直接交给 AI 编程工具执行：改哪里、怎么改、不能破坏什么、怎么验收，逐项写清。
复审节奏
报告用文件指纹锁定审过的版本。改一次，审一次，确保上线的就是审过的那一版。
审的是 AI 写的代码，写给不读代码的人看，修复交给 AI 去执行。
两条服务线，覆盖 AI 写出来的两类东西
链上安全审计
EVM 兼容链（如 BNB Chain、Ethereum）
- 智能合约审计Solidity 合约源码
- Web3 前端审计钱包连接、授权、发起交易、交易结果恢复、发布配置
- 链上权限与状态核对已部署的合约谁能升级、谁能动钱，是多签还是单个钱包，升级前有没有等待期
Web／网站安全评估与渗透测试
网站、后台、API、SaaS、支付、云部署
- 账号与会话注册登录、找回密码、会话管理、多因素
- 权限与越权水平/垂直越权、多租户之间的数据隔离
- 业务逻辑与支付下单计价、幂等、回调、账目对不对得上
- 输入与注入各类注入、服务端请求伪造、文件上传与处理
- 接口REST／GraphQL／WebSocket 的授权和数据暴露
- 数据与密码学敏感数据的保存与传输、密钥与加密用法
- 部署与云发布配置、云资源权限、依赖与构建供应链
- 浏览器端前端信任边界、跨站、内容安全策略、第三方脚本
源码与配置审查不接触线上系统；实站渗透测试只在客户书面授权、约定范围的目标上进行。两条线都提供复审，客户同意后可出中英文公开版报告。
AI 写代码常见的坑
下面都是按需求写功能时最容易漏掉的问题，属于行业通用常识。
链上
- 管理员权限在一个普通钱包里，私钥一丢全完
- 钱放进了别人能升级的合约，安全取决于别人
- 让用户无限授权
- 转账没核对实际到账金额
- 编译器版本没固定
Web
- 换个账号、改个 ID 就能看到别人的数据
- 密钥、接口令牌写进前端代码
- 找回密码、验证码可以绕过
- 支付回调不验证来源，金额可以被改
- 云存储设成公开
- 依赖的第三方库带着已知漏洞
通用
- 改完代码没人再看一眼就上线
- 上线的版本和审过的版本对不上
- “AI 说它安全”不算审计
一次审计，两份文件
人看完报告，多半会把问题交给 AI 去改。所以给人看的要短、一目了然；给 AI 看的要完整、精确，可以直接执行。
《安全审计报告》
给项目方、社区和用户看：结论、高危中危问题、问题清单、谁能动资金、项目方说法核验、用户须知、报告失效条件、审计范围与边界。
PDF · 中文 / English《修复规格书 For AI Vibe Coding》
直接交给 AI 编程工具：每项问题改哪里、怎么改、修改时不能破坏的规则、怎么验收，以及部署核对和复审提交要求。
Markdown · 中文 / English- 报告编号形如 TH-年份-序号，两份文件共用一个编号；首次发布为 V1.0.0，以后修订时顺延。
- 报告写明审计的是哪一份代码，并用 SHA-256 文件指纹锁定；改过的代码不在报告范围内。
过了三道关，才写进报告
独立审查
多组审查分头进行，各自独立给出发现。
反方质证
每个重要发现，都有专门的一方负责找理由推翻它。
复现确认
推不翻的，再逐一复现或在代码中确认，最后复核签发。
报告里的每一项都有证据、有验收方法，不靠猜测，也不为凑数。
审计不是保险
我们不承诺什么
- 审计不能发现所有问题，报告不是保险。
- 报告只对写明的代码版本有效；代码改过，包括让 AI 重新生成，都要重新审计。
- 不为项目、代币或团队背书，报告不构成投资建议。
需要项目方配合的检查
- 需要真实资金的链上操作
- 需要专门环境的测试，例如压力测试
- 项目方内部实施情况，例如线上部署的是否就是交付的源码
- 多角色权限测试，需要不同权限的测试账号
把边界写清楚的报告，才值得信。
怎么确认一份报告出自 Tapehack
核验报告
- 报告编号格式为 TH-年份-序号，可以联系我们核实。
- 对照我们在报告页公布的 SHA-256 文件指纹：文件改动一个字，指纹就会变。
- 报告只对写明的代码版本有效。
- Tapehack 不出“审计通过”证书。有人这么说，先来核对。
谨防冒充
- Tapehack 不会主动私信要求转账。
- 不会索要私钥或助记词。
- 不会让你连接钱包、签名或下载软件。
- 审计需要的是源码、合约地址和项目文档，不需要你的私钥。
为 AI Vibe Coding 项目保驾护航。
以专为 AI 生成代码设计的安全审计，让 AI 写出的代码经得起检验。
咨询审计
咨询时请准备
- 项目简介，以及要审的范围
- 源码或代码仓库；已部署的合约地址
- 项目文档或需求说明
- 渗透测试：授权范围与可测试的环境