Decloak 是一款 Web 安全情报工具，定位是为“氛围编程”（vibe coding）团队到企业级团队提供安全检测能力。其背景是：氛围编程能让想法在数小时内变成上线应用，但安全审查往往是最先被跳过的一环，Decloak 正是为捕捉这种快速交付所遗留的问题而构建。
主要能力方面，用户粘贴一个 URL 后，Decloak 会自动对站点所用平台进行指纹识别，覆盖 Lovable、Supabase、Base44、Bubble、Next.js，并针对每个平台已知的配置错误进行检查，最常见的问题是 Supabase 数据库因从未开启行级安全（Row Level Security）而处于公开可读状态。它还会标记客户端 JavaScript 中暴露的 API 密钥、存在漏洞的依赖库、缺失的安全响应头以及隐藏的追踪器。这些检测由覆盖 8 层的完整扫描完成，并且会对发现结果进行关联分析，而不是相互孤立地逐项检查。
在初始扫描之外，Decloak 的 AI 智能体采用调查式而非固定清单式的思路：它会跨整个站点追踪线索、从源码映射（source maps）中还原暴露的源代码，并将可疑域名与威胁情报进行交叉比对。企业版方案还增加了 AI 驱动的渗透测试能力，在沙箱中运行 sqlmap、nuclei 和 jwt_tool，以确认漏洞是否真实可被利用；同时提供面向 SOC2、ISO 27001、NIS2 和 DORA 的合规映射，并支持导出审计证据。
使用方式上，核心入口是粘贴网址并触发自动指纹识别与扫描，随后由 AI 智能体继续深入调查；企业版用户可使用渗透测试与合规映射功能。关于具体定价、套餐层级、是否提供免费额度、支持的浏览器或集成方式、扫描所需时间等信息，资料中暂未提供。
适用场景包括：氛围编程团队在上线前进行安全检查、对 Supabase 应用进行审计并修复公开数据库访问、扫描线上网站是否存在暴露的密钥与漏洞、SaaS 网站上线前安全检测，以及需要将网站安全发现映射到 SOC 2、ISO 27001 等合规控制项并导出审计证据的企业团队。
限制方面，资料未说明其检测的准确率、误报率、覆盖范围边界、是否支持私有化部署或 API 接入，也未给出与具体合规标准对应的完整控制项清单；渗透测试与合规映射仅在企业版方案中提供。该产品由一位拥有 25 年代码智能与治理工具经验的独立创始人打造。产品名称、URL 与扫描所涉及的工具名称均保留原文。