最后一道控制度量：
你的 WAF/NGFW/EDR 是否真的拦得住
持续自动验证——哪台设备的哪个控制失效， 检测不阻断=P0，规则升级后漂移可见。
真实拦截状态（canary）：检查中
01
哪台设备，哪个控制
清单粒度到设备具名与控制名，不是“安全评分 87”这种无法行动的分数。
02
检测不阻断 = P0
规则命中日志≠攻击被拦。判定表把“只检测”永远标红，压不进绿区。
03
升级后漂移可见
规则库/固件升级前后同 plan 重放，判定差异逐条列出。不靠人肉盯 changelog。
每条结论都能现场复现
官网不写无法验证的话：每个宣称旁边都有公开链接，浏览器打开即可看到同一判定。 判定证据可下载、可重放（同一 plan、同一指纹输入）。
常见问题
它和我的 WAF 自带测试有什么区别？
WAF 自检回答“规则加载了吗”；aibas 回答“真实载荷从公网打进来时，这台设备的这个控制拦住了吗”。每次判定附双面证据（请求侧+日志侧），可 pin 可重放。
攻击流量从哪来？会不会打坏我的业务？
全部来自已公示的受控范围（ROE 页可查），载荷是闭集语料库的已知样本，只打自己的靶场资产。可先在公开 range 上自己试。
检测到但没有阻断算什么？
P0。日志里有一行命中不等于攻击被拦下——检测不阻断在判定表里永远不是绿色。
规则库升级之后怎么知道没变差？
指纹随每次 run 回读并留档；升级前后同一 plan 重放，判定差异逐条列出——漂移可见，不是靠人盯发布说明。