EVIDENCE BEFORE CONFIDENCE
ZYRVIS · EXPERIMENTAL RELEASE PROOF
ZYRVISAudit
AI 写得越来越快，交付却不能只凭一句“已经完成”。ZYRVISAudit 检查构建、测试、权限、数据和修复证据，明确告诉你：什么被验证了，什么失败了，什么仍然未知。
QUESTION 01
真的能构建吗？
QUESTION 02
数据真的保存了吗？
QUESTION 03
权限真的拦住了吗？
QUESTION 04
修复真的复验了吗？
WHY
不是再找更多问题，
而是证明交付真的成立
传统扫描器擅长报告模式风险，但 AI 软件常见的失败更隐蔽：页面存在、接口没接；提示成功、数据没写；测试全绿、核心路径没覆盖。ZYRVISAudit 把发现、复现、修复与复验放进同一条证据链。
可追溯 Finding
每条结论记录来源、文件、原因、影响与未验证范围，而不是只给一个分数。
Executable Reproducer
安全问题必须由可执行测试或 PoC 真实复现；未运行、超时和空结果都不能算通过。
四态结论
PASS、FAIL、UNKNOWN、CONFLICT。证据不足时选择诚实地不知道。
可校验 Bundle
`.zyr` Bundle 使用哈希链检测内容篡改；完整性证明不被包装成正确性证明。
修复后复验
生成补丁不等于应用，测试通过不等于安全。每一步必须满足独立证据门槛。
Release Proof
面向甲乙双方、创始人和小团队的交付报告：可交付、阻塞、未验证，一页先讲清。
EVIDENCE CHAIN
五个词，约束一次可信修复
它们不是进度标签，而是证据门槛。缺少上一步的真实证据，就不能进入下一步。
01
PROPOSED
发现问题并提出候选方案，还没有动代码。
02
REPRODUCED
补丁前由可执行测试或 PoC 观察到原失败。
03
PATCHED
补丁已经实际进入工作副本，而不是只生成 diff。
04
REGRESSION
目标项目自己的真实测试命令退出 0。
05
VERIFIED
独立隐藏用例、PoC 或不变式完成复验。
INTERACTIVE PROOF
一次“看起来完成”的项目，
会得到什么结论
选择一个场景，查看证据如何改变最终结论。此演示展示判定逻辑，不会扫描或上传你的代码。
真实审计会保存命令、退出码、HTTP 状态与证据文件；本区仅为产品逻辑演示。
HONEST BOUNDARIES
当前能做什么，
也明确写出不能做什么
ZYRVISAudit 仍处于实验性阶段。可信产品的第一条原则，是不把路线图写成已经交付。
当前可以
- 检查 TypeScript / JavaScript Web 与 API 项目
- 执行构建、项目测试和有限的安全模式检查
- 对运行中的 Stripe Webhook 发送负向 PoC
- 输出 Markdown、JSON、GSN 与 `.zyr` Bundle
- 明确记录失败、未知、冲突和未执行项
当前不能承诺
- 不能替代正式渗透测试或合规认证
- 不能证明未发现的漏洞不存在
- 不能把 Bundle 完整性等同于结论正确性
- 不能可靠覆盖 Python 等其他语言生态
- 未经校准的 Vibe Score 不能作为上线保证
ZYRVIS Release Proof
首个服务聚焦 Next.js + Supabase + Stripe 项目：登录与服务端鉴权、多租户权限、数据写入与读回、Webhook 签名、构建测试，以及修复后复验。