Canima

Canima 是一家美国攻击性安全公司，开发 AI 驱动的渗透测试平台。Canima 并不把自己定位为传统的漏洞扫描器，而是提供一种持续运行的对抗性测试服务：大量专业 AI 智能体自主探测客户的内部网络、Web 应用与 API、云环境以及外部攻击面。公司称其智能体能够像人类渗透测试人员一样推理和适应，理解权限边界、凭据暴露、横向移动机会、认证流程、API 调用链，以及自动化扫描器通常遗漏的业务逻辑漏洞。 公司由 Elias Marquez 创立，他是一位常驻美国加利福尼亚州洛杉矶的攻击性安全从业者，拥有十余年经验，涵盖网络渗透测试、Web 应用评估、移动测试、物理渗透、硬件与物联网攻防以及社会工程。Marquez 此前创立了渗透测试公司 Achilleus。根据公司自述，他于 2023 年 7 月构建了一个 AI 驱动的渗透测试助手，到 2024 年 8 月，Achilleus 的客户开始要求自动化渗透测试服务。在反复发现市面产品只是“披着 AI 营销外衣的漏洞扫描器”——只能执行预定义脚本、缺乏统一平台覆盖、许可成本高昂——之后，他于 2024 年 9 月决定自行开发。开发于 2024 年 10 月启动，最终形成的平台即为 Canima。 Canima 的平台围绕三大覆盖领域组织：内部网络渗透测试（包括 Active Directory 攻击、凭据收集与横向移动）、Web 应用与 API 测试（业务逻辑漏洞、API 调用链利用、认证绕过与角色配置错误），以及云与外部基础设施测试（云原生测试、攻击面监控、持续验证与低噪声告警）。公司将该服务宣传为 7×24 小时持续运行的对抗性测试，误报率极低，并提供开发者可直接使用的发现结果。 公司表示其团队拥有 10 年以上攻击性安全经验，平台使用 340 多个专业智能体，并集成 500 多种行业工具；同时列有一项待批专利。Canima 为私人持股、创始人主导，Elias Marquez 担任创始人兼首席执行官。其公开理念并非取代人类渗透测试人员——公司称人类的直觉、创造力与判断力不可替代——而是持续、大规模地扩展这些能力。

Canima 由 Elias Marquez 创立。他是一位常驻美国加利福尼亚州洛杉矶的攻击性安全专业人士，拥有十余年经验，涵盖网络渗透测试、Web 应用评估、移动测试、物理渗透、硬件与物联网攻防以及社会工程。在 Canima 之前，Marquez 创立了渗透测试公司 Achilleus，并在那里多年挖掘自动化扫描器一贯遗漏的漏洞。 根据公司 About 页面自述，其起源可追溯至 2023 年 7 月，当时 Marquez 构建了一个 AI 驱动的渗透测试助手——一个基于攻击性安全知识训练的智能聊天机器人。到 2024 年 8 月，Achilleus 的客户开始要求自动化渗透测试服务。在评估供应商方案以满足这一需求时，Marquez 反复遇到他所形容的“披着 AI 营销外衣的漏洞扫描器”：只能执行预定义脚本、缺乏统一平台覆盖、许可成本高昂到令人却步。 2024 年 9 月，在又一次令人不满的供应商评估中，公司决定自行开发这一能力——用公司的话说，“去他的，我自己来做。”其愿景是打造一个能够真正像熟练人类渗透测试人员那样推理、适应和执行的 AI 系统，而不仅仅是运行预定义脚本。开发于 2024 年 10 月启动，期间构建并舍弃了多个系统，直到架构正确为止。 公司将自身使命定位为扩展而非取代人类渗透测试人员。人类的直觉、创造力与判断力被描述为不可替代；目标是让客户能够持续、大规模地获得高水平的能力。这一愿景最终成为 Canima，如今它推广一个持续运行的对抗性测试平台，覆盖内部网络、Web 应用与 API，以及云与外部基础设施。公司称其团队拥有 10 年以上攻击性安全经验、340 多个专业智能体、集成 500 多种行业工具，并有一项待批专利。

• 2024

  Achilleus 的客户开始要求自动化渗透测试服务。

• 2024

  在一次令人不满的供应商评估后，Marquez 决定自行开发自动化渗透测试系统。

• 2024

  Canima 的开发启动；在架构确定之前，构建并舍弃了多个系统。

• 2023

  Elias Marquez 构建了一个 AI 驱动的渗透测试助手，一个基于攻击性安全知识训练的聊天机器人。

以黑客思维打造、持续运行的自主渗透测试，能够像人类渗透测试人员一样推理与适应，定位为受脚本限制的漏洞扫描器的替代方案。

• 内部网络渗透测试

  自主 AI 智能体像人类渗透测试人员一样动态评估内部基础设施，理解权限边界、凭据暴露与横向移动机会。涵盖 Active Directory 攻击、凭据收集、横向移动与上下文感知测试。

• Web 应用与 API 测试

  理解业务逻辑的 AI 智能体——认证流程如何运作、API 如何串联、哪些工作流可能被颠覆。测试业务逻辑漏洞、API 调用链利用、认证绕过与角色配置错误。

• 云与外部基础设施

  对云环境与外部攻击面进行持续监控，从 AWS 到 Azure 再到整个面向互联网的资产足迹。包括云原生测试、攻击面监控、持续验证与零噪声告警。

1. 1AI-Powered Penetration Testing Platform — Canimacanima.com
2. 2About — Offensive Security, Built by Pentesters — Canimacanima.com
3. 3Canima — Wikidatawikidata.org