Aikido

Aikido 是什麼？

Aikido 是應用程式安全平台，在集中系統中整合程式碼、雲端與執行階段防護。

AI 程式碼審查、原始碼分析與 AI 滲透測試處理不同開發階段，各有存取及計費條件。

核心功能

程式碼掃描與脈絡審查

• **相依套件安全：**軟體組成分析檢查已知 CVE 與有風險的開源授權。在推送、提取要求、IDE 及排程重掃時執行，重掃預設每日進行。
• **靜態分析：**SAST 不需執行應用程式，即可檢查原始碼中的已知危險模式。不符合這些模式的邏輯或授權缺陷可能不在涵蓋範圍內。
• **AI 程式碼審查：**Deep Review 探查差異以外的相關程式碼，考量提取要求的更廣影響，並在該要求回饋。可標記變更造成的存取檢查缺漏或分頁故障，涵蓋安全與品質。

AutoFix 與相依套件更新

AutoFix 透過 IDE 行內差異、CI/PR 建議及手動或每日產生的提取要求，為相依套件、應用程式碼、基礎架構即程式碼、容器及滲透測試發現提出可供審查的修改。

相依套件 AutoFix 優先選擇已修復的最低版本，通常為修補或次版本升級；升至主版本表示較低版本均無法修復該問題。

雲端可見性與執行階段控制

Cloud Discovery 跨帳戶尋找資源、風險與錯誤設定；Cloud Inventory 建立資產對應，自訂 CSPM 規則標記風險設定。

Zen Firewall 直接嵌入應用程式碼，與應用程式在同一伺服器執行。所列控制涵蓋危險使用者輸入、注入與路徑穿越攻擊、路由及使用者速率限制、機器人或已知攻擊者等惡意流量、依國家限制存取及對外流量監控。

使用指南

儲存庫與提取要求設定

1. 透過支援的原始碼管理連線建立帳戶，連接待掃描儲存庫。連接後啟動 SCA、SAST、Secrets、Licenses、IaC、Malware 六類掃描。
2. 在相關儲存庫的 PR Checks 啟用 SAST 與 Code Quality，以檢查新增程式碼。
3. 在 PR Checks 另行啟用 Deep Review，進行差異範圍以外、考量脈絡的安全與品質審查。

使用情境

提取要求中的授權變更

Aikido 以將某位使用者訂單暴露給另一人的 PR 說明 Deep Review：應用程式仍可執行，SAST 可能看不到已知危險模式。

既有軟體的客戶隔離

團隊不確定既有應用程式是否隔離不同客戶時，AI Code Analysis 可檢查現有原始碼。

網際網路暴露與遺忘資產

Attack Surface Monitoring 發現可連線資產，如舊登入頁或因 Proxy 變更暴露的管理 API。Quick Scan 持續檢查已知網域的暴露狀況。

適用人群

• **與開發者協作的資安團隊：**Aikido 將平台定位於貫穿 SDLC 落實控制，並用代理程式協助、教育開發者。
• **原始碼留在自有電腦的團隊：**本機掃描支援開發檢查、隔離環境及敏感本機儲存庫，須有相容工作區。Aikido 表示，多數工作流程使用標準整合更快、涵蓋更佳。
• **滲透測試角色分明的組織：**Manage Pentests 控制誰可建立、執行、設定測試。管理員具此權限，預設使用者可獲授，僅限團隊的使用者不能獲授。預設使用者可存取工作區測試；僅限團隊的使用者須能存取測試關聯的每個儲存庫才看得到。無管理權限者仍可開啟有權存取的測試、處理發現並重測已部署的修復。

支援平台

原始碼管理、編輯器與 CI

Aikido 透過 GitHub、GitLab、Bitbucket、Azure DevOps 及地端原始碼管理環境連接。IDE 接入包括 Visual Studio、VS Code、JetBrains IDEs、Cursor、Windsurf、Kiro、Google Antigravity、Eclipse。

本機掃描器文件涵蓋 Azure DevOps Server、Bitbucket Pipelines、Bamboo、CircleCI、GitHub Actions、GitLab Self-Managed、Jenkins、TeamCity 的 CI/CD 設定，以及 Linux、Mac、Windows 設定指南。

已發布的 MCP 設定涵蓋 Claude Code、Cursor、Codex CLI、Gemini CLI、JetBrains AI、GitHub Copilot、Mistral Vibe、OpenCode、Devin；另有 API Authorization and Rate Limiting 文件。

掃描器與執行階段語言界線

SAST 區分跨檔案與檔案內的汙點追蹤。跨檔案分析列有 JavaScript、TypeScript、PHP、.NET/C#、Java、Rust、Go、Ruby、Python、Scala、C/C++、Visual Basic；檔案內分析列有 Swift、Android、Kotlin、Dart、Elixir、Apex、Clojure。

Zen 支援 Node.js、Python、PHP、Java、.NET Core and Framework、Ruby、Golang 執行階段，Golang 標為 beta。

價格套餐

平台訂閱

2026 年 10 月 28 日擷取的美元價格以每個付費方案 10 人計算；年繳價為全年總額，不含扣繳稅、進口稅、銷售稅、增值稅與其他地方稅。

Developer 不需信用卡，列明每三天重掃。方案卡額度受公平使用限制。破折號表示卡片未列 VM 擴縮群組額度。

Aikido Max 是需詢價的加購項目，為含 Deep Review 在內的所有 AI 功能提供每月不限量點數，受公平使用限制。

錢包餘額與支出上限

1 點 Aikido 點數等於 $1 USD。符合條件的活躍 Pro、Advanced 工作區，每個日曆月可分別獲贈 100、200 點；Developer、Basic 不含此補贈。購買與贈送點數共用不過期的錢包餘額。當月未使用錢包，可能不獲補贈；原有餘額保留。

每筆至少購買 500 點。可用信用卡或發票付款，但發票付款僅供付費客戶，成功付款後才加入點數。

工作區管理員可為各功能設定支出上限，重設週期依功能而異。達上限後，Aikido 跳過會扣點的操作，直到上限重設。

Deep Review 每個提取要求收 1 點，同一 PR 後續審查不另收費。點數耗盡會跳過審查。達月度上限後，跳過收費審查至下個日曆月。

滲透測試範圍與用量費

Standard Pentest 花費 4000 點，在限定時間內評估一個應用程式及其主要 API。Rightsized Pentests 以連接的儲存庫對應攻擊向量，決定安全相關測試範圍，開始前確認總價。Rightsized 顯示 $50–$30,000+，依儲存庫、端點與角色定範圍。

Continuous Pentesting 按用量收費，每啟動一個代理程式 10 點。年化估算依據最近 30 天 Git 活動。Aikido 檢查已設定的部署或排程執行，但只為安全相關變更啟動代理程式，實際費用取決於啟動量，而非僅看估算。初次滲透測試發現最多可重測六個月，包括檢查能否繞過漏洞修復。

Run now, pay later

首次完整評估可用待付點數啟動，無須預購。High、Critical 發現付款前會模糊顯示；較大評估至少揭露一項此類發現供預覽。付清或豁免待付餘額後，報告與重測才可用。再次使用此優惠前須付清所有欠款。

資格要求為無未付點數、測試費用至多 8000 點、至少一個活躍非展示儲存庫、至少兩個有效測試帳戶，以及使用者或工作區管理員擁有工作信箱。個人信箱不符資格。

豁免須全部符合：工作區首次完整評估、使用 Run now, pay later、Rightsized Pentest 達建議涵蓋或更深、設定正確可充分測試、完成時無 High 或 Critical 發現。不付款條件排除低於建議涵蓋、第二次執行與重測、Continuous Pentesting、狹窄的功能或端點測試，以及缺使用者、應用程式脈絡不足等設定不完整情況。若 Medium 或 Low 發現有 Exploit Further 可用卻未使用，且可合理升為 High 或 Critical 嚴重程度，也可能拒絕豁免；條件針對嚴重程度，不限於權限提升。

續約與終止

公開 MSA 規定自動續約與當期期限相同的期間；若要期末終止，須至少提前 30 個日曆日書面通知。若非因 Aikido 未補正的重大違約終止，客戶仍須支付剩餘期間費用；因該違約終止，可按比例退還預付未用費用。

免費方案卡稱「永久免費」，但 MSA 未給免費版最低或保證期限，並允許 Aikido 隨時以任何理由終止。

替代工具

Snyk 列有程式碼、開源相依套件、容器、基礎架構即程式碼、API/web DAST 與機密資訊產品，可從開發者掃描器範圍比較。

SonarQube 涵蓋程式碼驗證、品質與安全；SonarQube for IDE 提供即時分析與編碼指引。SonarQube Cloud 是全代管 SaaS；SonarQube Server 由客戶在自身邊界內自行管理。

注意事項

偵測涵蓋與營運風險

• **可達性不確定：**反射、動態匯入、後設程式設計與複雜建置步驟可能遮蔽部分呼叫圖。Aikido 稱採保守方式：保留不明確的發現或降低嚴重程度，不以不可達為由抑制。
• **已知網域檢查：**Quick Scan 檢查暴露及設定，例如標頭、Cookie、TLS；不適合深入注入測試，也不適合證明使用者能否存取彼此資料。
• **滲透測試範圍：**Aikido Pentest 不含社交工程與實體安全評估，也不保證找到所有弱點。
• **對目標的影響：**滲透測試附錄指出，自主代理程式可能不可預測、非確定，存在效能下降、服務中斷或資料變更風險。客戶設定目標與脈絡。結果僅代表某時點，可能有誤報、遺漏，或無法重現、充分解釋的 AI 觀察。

授權與登入憑證測試

目標須明確指定，且由客戶擁有或依法授權測試。第三方目標須獲該方明確許可。應用程式測試預設在無真實使用者資料、不危及實際營運的非正式、預備或測試環境執行，除非雙方另有明確書面約定。Network Pentests 可含範圍中明確選入的正式環境目標，並須確認較高服務影響風險。

Credential-Based Testing 為選用功能，須在範圍設定明確勾選或書面授權。可涵蓋預設、弱登入憑證，以及看似與客戶、網域或使用者相關的外洩登入憑證。授權可依目標、入口網站或登入憑證類別限制並撤回；承諾於商業上合理時間內停止。客戶須有相關權利與個資處理依據。附錄也承認可能鎖住帳戶、觸發警示、重設密碼或有類似影響。

儲存庫存取與程式碼留存

AutoFix GitHub App 要求 Code、PRs、Workflows 讀寫權限，以及 Checks、Actions 讀取權限。此可寫入的修復途徑，有別於預設掃描整合的最小唯讀範圍。

Aikido 表示儲存庫分析使用新容器，終止時清除分析資料。文件列有例外：AutoFix 留存受影響檔案的原始與修復差異，AutoTriaged SAST 發現的呼叫樹最多保留兩週。

儲存庫資料文件列出 EU、US、US Gov、ME、AU 應用程式執行個體，並說明存於對應地區。

AI 處理、個資與測試紀錄

Aikido 稱 AI 操作僅作推論，資料在記憶體暫時處理，不留存或重用，少量匿名程式碼片段可協助準確分類與修復。對 SAST、IaC、容器 AutoFix，其表示僅透過加密通道向 AWS Bedrock 傳送所需最少片段，Aikido 與 AWS Bedrock 均不用該程式碼訓練或微調。這些廠商說法限於指定處理範圍。

隱私權政策將個資存於歐洲及美國，在客戶關係期間及之後，為營運、歷史與封存保留服務資料。Aikido 控制的個資可依經驗證的請求刪除。

滲透測試活動與發現會記錄日誌。測試資料可用於交付結果及改善服務；登入憑證測試的登入憑證與其他個資，依 DPA 僅用於交付結果。原始測試資料有限期保留，用於回答後續問題或抗辯求償，之後刪除；所引條款未載固定期間。Aikido 可留存最終報告的封存副本。

MSA 保留客戶對內容、儲存庫、程式碼庫、容器及雲端基礎架構的所有權，同時允許為履約、行使契約權利、符合法律要求或授權所需的處理。終止後可在 30 天內取回原生格式內容與使用分析，內容須於 200 天內清除；期間留存僅限提供備份可用性。

FAQ

Q1. 滲透測試必須存取原始碼嗎？

不必。Aikido 表示，提供儲存庫存取權可大幅改善對應用程式邏輯、角色與資料流的脈絡理解，使涵蓋更深、發現更準確。

Q2. Continuous Pentesting 前須先連接什麼？

須完成初始評估，並連接用來辨識安全相關變更的儲存庫。設定後，Aikido 可隨應用程式變更執行針對性滲透測試。

Q3. 誰控制 API 與 MCP 存取？

API 權杖設定使用 OAuth Client Credentials 進行伺服器間通訊。工作區管理員先建立用來取得存取權杖的用戶端憑證。

MCP 權限由工作區管理員管理，適用於各 MCP 工具的每位使用者。問題清單限使用者既有權存取的問題；忽略發現仍受其現有角色權限約束。