固件证据包
对 firmware 镜像进行解包、rootfs 识别、组件版本提取、SBOM 生成、弱口令与 hardcoded secret 检查、OTA / signing / secure boot 线索整理和 CVE 初筛。
Firmware 解包
SBOM
CVE 初筛
服务模块
围绕“证据缺口”设计，而不是泛泛做安全扫描。
客户真正需要的是可以被认证顾问、海外客户、项目经理和研发团队共同审阅的材料。我们把技术分析结果整理成证据路径、风险解释、问卷映射和复测对比。
客户安全问卷支持
将问卷中的安全、升级、漏洞管理、开源组件、凭据、日志、AI 功能等问题映射到实际技术证据，标注可支持回答和需要研发确认的部分。
问卷映射
回答建议
风险边界
AI 合规技术证据
面向带 AI 功能的产品，整理模型使用方式、数据来源、RAG 知识库、权限控制、日志审计、人工审核、风险控制和技术文档支撑材料。
AI 技术文档
风险记录
证据材料
交付内容
交付物面向审阅、沟通和整改，而不只是工具输出。
每个结论尽量对应文件路径、配置、版本字符串、证据截图或分析说明。确认事实、合理推断和待客户确认项会分开表达。
可先从一个型号或一个 firmware 做 mini scan，确认证据质量和风险信号后，再扩展为完整证据包、问卷映射和整改复测。
技术证据报告
- 管理层摘要与技术摘要
- 固件结构、组件版本与关键发现
- 证据路径、截图、命令输出和解释
- 风险说明、整改建议和待确认问题
SBOM 与组件证据
- SPDX / CycloneDX 格式 SBOM
- BusyBox、OpenSSL、dropbear、web server、libc、kernel 等版本识别
- CVE 初筛与影响解释
问卷映射材料
- 逐项问题分析
- 可支撑回答与不建议承诺项
- 对应证据附件索引
整改复测对比
- 整改前后结果对比
- 关闭项与残留风险说明
- 更新后的证据附件
适用对象
适合正在被客户、认证或内部合规流程要求补材料的团队。
我们优先服务有明确外部证据要求的项目：已经有产品、firmware、问卷、认证要求或客户审查要求，而不是停留在抽象咨询阶段。
出海 IoT / 嵌入式产品企业
适用于摄像头、网关、路由器、智能家居、工业 IoT、无线模组、采集器等带 firmware、联网能力和 OTA 机制的产品。
检测认证与合规服务机构
可作为白标技术后台，支持固件证据提取、SBOM、问卷证据映射、CVE 影响解释和整改复测报告。
带 AI 功能的硬件或软件产品
适用于需要整理 AI 系统技术文档、模型与数据来源说明、权限控制、日志审计和人工审核记录的项目。
合作流程
小范围开始，按证据质量扩展。
先界定范围，再分析证据。避免一开始承诺过宽，导致报告不可控或客户拿不到可用结论。
1
需求确认
确认产品类型、目标市场、当前被要求补充的材料、是否已有 firmware、问卷或认证要求。
2
技术分析
解包 firmware，提取组件版本，生成 SBOM，检查凭据、secret、OTA 线索和关键风险项。
3
证据交付
输出报告、SBOM、发现清单、问卷映射和证据附件，区分确认事实、推断和待确认项。
4
整改复测
根据客户整改后的新版本执行复测，输出差异报告和更新后的证据附件。
服务边界：纽格智能提供技术证据提取、分析和文档支持，不替代认证机构、检测实验室、法律顾问或最终符合性评估主体。
我们的目标是让客户能把 firmware、AI 系统和嵌入式产品中的关键技术事实讲清楚、拿出证据、支持整改和复测。
第一阶段重点能力
当前重点覆盖固件证据包、SBOM、组件版本识别、默认密码与弱 hash 检查、hardcoded secret / private key 检查、OTA / signing / secure boot evidence、CVE 初筛、整改建议和 retest diff。
后续可扩展 AI 合规技术证据线，包括 AI 系统技术文档、模型与数据来源说明、日志审计、人工审核流程和供应商问卷支持。
联系
讨论一个固件、AI 或出海产品合规证据项目。
建议在邮件中说明产品类型、目标市场、当前被要求补充的材料、是否已有 firmware 镜像、客户问卷或认证机构要求。认证机构白标合作也可单独沟通。