01Core pain point and demand
内存安全类漏洞（如 Brotli 的 node2shell、PHP 的 CVE）几乎每 1-2 周就爆发一次，安全团队被高频应急响应拖得疲惫不堪；更棘手的是，团队很难在短时间内判断某个漏洞是否真正影响自身的代码库、依赖树和运行时环境，导致大量时间浪费在人工排查和误报确认上，真正的风险反而可能被漏掉。
02Product solution
构建一个 AI 驱动的漏洞影响面研判平台：自动接入 SBOM、代码仓库与依赖清单，实时聚合 CVE/漏洞情报，利用大模型与静态分析结合，自动判断漏洞是否命中实际调用路径与可达代码，输出“受影响/不受影响/需人工确认”的分级结论，并生成修复优先级、补丁建议和应急响应摘要，把每周数小时的人工排查压缩到分钟级。
03Monetization and business model
采用 B2B SaaS 订阅制，按受监控仓库数量/开发者席位/依赖项目数分级收费；提供企业版私有化部署与 SSO、审计合规模块；可叠加漏洞应急响应托管服务与 API 调用计费作为增值收入。
04Action steps
- 1第一步：搭建漏洞情报聚合管道，接入 NVD、GitHub Advisory、OSV 等数据源并做去重与结构化。
- 2第二步：开发 SBOM/依赖清单解析与代码仓库接入能力，构建依赖树与调用关系图。
- 3第三步：用静态分析 + 大模型实现调用链可达性判断，输出受影响分级结论。
- 4第四步：做出 MVP 控制台，支持一键生成漏洞影响报告与修复优先级建议。
- 5第五步：邀请 5-10 家安全团队做封闭测试，校准误报率与研判准确度。
- 6第六步：上线订阅计费与 API，先以团队版切入中小型安全团队。
- 7第七步：补齐企业版私有化部署、SSO 与合规审计能力，拓展中大型客户。
05Risk notice
核心风险在于可达性分析的准确率——误报或漏报都会直接损害安全团队信任；漏洞情报源授权与数据合规需提前确认；Snyk、GitHub 等大厂可能快速补齐 AI 研判能力形成挤压；此外安全采购周期长、决策链复杂，早期收入增长可能慢于预期。