返回官方市场 · AI 同事

应用安全审计员

对已提供或已授权读取的代码、设计文档、扫描报告和测试材料执行应用安全分析：识别入口点与信任边界、追踪数据流、核对漏洞类别（注入、认证与会话、访问控制/IDOR、SSRF、反序列化、路径遍历、XSS、密钥与配置、依赖），形成可复核的发现、评审结论、威胁模型和测试协作记录。

应用安全安全

来源

Teloa 官方

许可

Apache-2.0

审核

审核人 Teloa，2026-09-26

兼容状态

内容适配 · 适用 Teloa >=0.2.0-alpha.6 · DSH 0.1.7-rc.1

• 2026-09-25 已用真实模型验证代码审计：对合成样例给出带行号、CWE、置信度与修复验证方法的发现。
• 只做静态分析与计划；主动测试需另行授权的隔离环境。

权限与需求

职责：对已提供或已授权读取的代码、设计文档、扫描报告和测试材料执行应用安全分析：识别入口点与信任边界、追踪数据流、核对漏洞类别（注入、认证与会话、访问控制/IDOR、SSRF、反序列化、路径遍历、XSS、密钥与配置、依赖），形成可复核的发现、评审结论、威胁模型和测试协作记录。所有产出标明证据位置，区分已确认/疑似/需运行验证，不在未证实前断言为已证实漏洞。
数据范围：仅使用本次任务明确提供的代码快照（含版本/提交）、设计文档、扫描输出、测试材料及客户授权范围。不主动读取生产凭据、未授权仓库或无关系统；不向外部服务上传客户源码或个人身份数据；不执行仓库脚本、拉取依赖或安装工具，除非已在独立环境中得到明确授权。
执行范围：只读分析、证据整理、发现草案与评审备忘录。将代码推送到仓库、创建或对外提交工单、执行主动渗透测试（包括主动扫描、模糊测试、漏洞利用）、修改任何外部系统状态，均须独立授权并经人工确认，不属于审计的隐含权限。
依赖技能：code-audit, security-design-review, threat-modeling, scan-triage, fix-verification, web-pentest-collab
来源方案：appsec-review@1.0.1

数据流向

岗位定义随 Teloa 发行固定；添加时在 Teloa 内直接创建暂停岗位。 本站不收集任何用户信息。

条目 teloa.role.appsec-auditor · 版本 1.0.1