Ostorlab 与 Quokka Q-mast：移动 DAST 对比

让我们直面现代移动工程的一个严峻现实：您的团队发布的应用早已不再是自成一体的客户端二进制文件。它们是通往云架构、微服务和复杂后端 API 的动态、高速网关。

对于 DevSecOps 团队来说，这一演变让传统的安全测试难以为继。纯静态扫描器和僵化的黑盒动态工具根本跟不上应用在真实世界中的运行方式。真实世界中的漏洞很少静静地待在孤立的应用包里。它们在实际运行时才会被触发，隐藏在应用 UI、本地操作系统和后端服务器之间错综复杂的交互之中。

如果您的工程团队正在评估移动应用安全测试（MAST）工具，您很可能已经把候选范围缩小到 Ostorlab 和 Quokka Q-mast（前身为 Kryptowire）。虽然这两款工具都能在无需访问原始源代码的情况下进行动态分析，但它们建立在截然不同的理念之上：

• Quokka Q-mast 侧重于自动生成软件物料清单（SBOM）、静态二进制检查，以及将检查清单映射到 NIAP 和 NIST 等严格的联邦合规标准。
• Ostorlab 提供一套专为高速软件流水线打造的 全栈移动 DAST。它从底层设计开始，就旨在绕过运行时安全屏障、原生处理复杂的身份验证，并在不拖慢开发人员的情况下检查后端 API 流量。

除了基础 DAST 之外，Ostorlab 还提供可选的 Agentic Deep Scan 模块。您可以把它看作一名自主的 AI 渗透测试人员，像一位随叫随到的人类黑客一样工作，在各个用户流程之间串联逻辑漏洞利用，并自动验证开发人员的代码修复是否真正生效。

关于本对比

本对比由 Ostorlab 发布，Ostorlab 开发并销售本文所对比的 Ostorlab 平台。有关 Quokka Q-mast 的描述基于 Quokka 的公开网站和文档，主要是 Q-mast 产品页面；有关 Ostorlab 的描述基于 Ostorlab 自己的产品文档。其他厂商的信息反映的是其截至 2026 年 7 月 15 日的公开网站和文档。

2026 年 10 月 2 日更新：更正了应用获取一行。Quokka Q-mast 直接从应用商店测试生产环境应用（Q-mast）。

评估标准： 部署设置与流程定制、全球应用获取、TLS 与代码混淆处理、身份验证处理、隐私与合规、运行时证据与可见性、框架兼容性、智能体式附加测试、修复工作流以及后端 API 覆盖。

快速结论：功能与架构对比矩阵

如果您想快速了解这些工具孰优孰劣，下面的矩阵突出了 Ostorlab 基础移动 DAST 胜过 Quokka Q-mast 的地方，以及加入 Ostorlab 智能体式能力后您能获得的额外收益 ：

技术评估标准	Ostorlab Mobile DAST	Quokka Q-mast DAST	对 DevSecOps 的意义
部署设置与流程定制	基于提示词的定制： 使用纯文本提示词引导测试；几分钟内即可集成到 CI/CD。	需要手动配置、预定义执行路径或编写自定义脚本。	省去编写和维护脆弱 UI 测试脚本所耗费的大量时间。
全球应用获取	按地区搜索： 原生支持按国家搜索 App Store 或 Play Store。	通过其“App Watch List”直接从应用商店测试生产环境应用；我们在其公开页面上未发现国家选择功能。	让您能够测试各地区用户实际下载的版本。
TLS 与代码混淆处理	自动绕过： 原生绕过 TLS 证书锁定和代码混淆，实现深度检查。	经常被运行时保护和自定义加密阻挡或“蒙蔽”。	通过对加密网络流量进行完整检查来防止漏报。
身份验证处理	高级身份验证支持： 在复杂登录流程中原生保持已认证的会话。	往往难以应对，或需要维护成本很高的脚本来保持会话有效。	确保受保护的用户旅程、用户资料和内部功能都能得到测试。
隐私与合规	深度隐私扫描： 深入洞察数据收集情况及其隐私影响。	基础隐私检查，通常与静态 SBOM 数据绑定。	通过准确追踪数据的收集方式，帮助团队遵守隐私法规。
运行时证据与可见性	全栈访问： 提供 PCAP 抓包、实时流量日志、堆栈跟踪和屏幕截图。	传统的安全告警，执行上下文有限或仅有黑盒日志。	为开发人员提供快速复现和修复缺陷所需的确切、可验证的证据。
框架兼容性	对 Flutter、React Native、Java、Kotlin、Swift 和 C/C++ 进行原生运行时测试。	以二进制为中心；动态探索往往有限或依赖于框架。	确保在现代混合与跨平台技术栈中获得一致的动态覆盖。
高级附加引擎	Agentic Deep Scan（可选）： 自主 AI 渗透测试，串联逻辑漏洞利用并重新测试修复。	没有同等的自主智能体式渗透测试模块。	按需提供深度逻辑渗透测试，免去人工咨询的开销。
修复工作流	一键自动生成安全代码修复 + 在测试周期中持续验证。	静态漏洞报告、工单和 SBOM 映射。	缩短平均修复时间（MTTR），并自动证明漏洞已被关闭。

第 1 部分：为什么 Ostorlab 的基础 DAST 胜过 Quokka Q-mast

在讨论高级 AI 附加功能之前，我们需要先在基础动态测试上分出高下。当您剥去营销包装，将两个平台都部署到真实的 CI/CD 流水线中时，它们的核心 DAST 引擎在运行时的实际表现如何？

虽然 Quokka Q-mast 提供了有价值的动态检查和强制路径执行，但它的基因植根于静态漏洞映射和合规报告。Ostorlab 则从完全不同的角度对待 DAST：为高速工程团队打造的运行时执行。以下是 Ostorlab 在五大关键运行时支柱上胜过传统动态分析的方式。

1. 基于提示词的流程定制 vs. 僵化的脚本

随便问一位 QA 或安全工程师为什么讨厌 DAST 自动化，您会得到完全相同的答案：维护成本高昂的测试脚本。传统动态工具常常迫使您编写复杂的 Appium 脚本，或花上好几天手动映射 UI 执行路径，只为了让扫描器查看正确的界面。每当前端开发人员调整某个 UI 组件或推送一次大改版，您的自动化安全测试就会失效。

Ostorlab 通过 基于提示词的流程定制 消除了脆弱的脚本。您的团队无需编写僵化的执行路径，而是使用纯文本提示词来引导扫描器。您只需用自然语言告诉引擎需要关注什么，例如：“进入购物车，使用一个折扣码，并测试支付网关是否存在输入校验缺陷。”

DAST 引擎会动态探索运行中的应用，自行找到相关的 UI 组件，并将测试载荷集中在您的业务逻辑所在之处。通常需要数天人工配置的测试，缩短为 5 分钟的流水线设置。

2. 在运行时绕过防护（TLS 证书锁定与代码混淆）

现代移动应用很少在毫无保护的情况下发布。为了阻止逆向工程和窃听，开发人员会部署 TLS 证书锁定和高强度代码混淆等运行时保护。这些防护虽然对防御很有帮助，却让标准 DAST 扫描器头疼不已。传统扫描器一旦遇到证书锁定或自定义加密就会“失明”，导致您无法进行更深入的网络分析，并产生漏报。

Ostorlab 通过 自动化运行时绕过 开箱即用地解决了这一障碍。当扫描器在真实的 iOS 和 Android 物理设备上启动您的应用时，它会主动绕过 TLS 证书锁定，并实时拆解常见的代码混淆屏障。Ostorlab 不只是把应用当作黑盒，而是在应用运行期间打开加密网络流量并检查内部 API 通信。您可以清楚地看到应用的内部行为，而无需开发人员专门为安全扫描器构建特殊的精简测试版本。

3. 已认证工作流处理与登录后覆盖

移动应用安全领域有一个公开的秘密：大多数严重漏洞并不在公开的登录界面上。它们隐藏在受保护的用户旅程、用户资料设置、结账流程和账户管理控制台之中。然而，传统 DAST 扫描器一遇到身份验证屏障往往就会失败。如果工具无法处理双因素身份验证（2FA）、一次性密码（OTP）或复杂的 OAuth 流程，就永远无法触及登录后的攻击面。

Ostorlab 通过 高级身份验证处理 原生解决了这个问题。该引擎专为在复杂登录序列中保持持久的已认证会话而构建。它会保存令牌、处理动态会话刷新，并在不断开连接的情况下完成多步骤登录。当传统工具在登录关口前崩溃，或迫使您硬编码临时绕过令牌时，Ostorlab 会像真实用户一样持续映射并测试您受保护的用户旅程。

4. 可验证的产物：PCAP、堆栈跟踪和屏幕截图

发现漏洞只是成功了一半。如果您的安全工具只是提醒开发人员发现了问题，却不解释问题如何发生，您就会在分级处理会议上浪费好几天来试图复现缺陷。Quokka Q-mast 擅长通过其 SBOM 引擎精确定位存在漏洞的库版本，但对于运行时逻辑缺陷，工程师需要更深入的执行上下文。

Ostorlab 把每一个漏洞发现都当作一桩需要确凿证据的案件。当 DAST 引擎标记出一个问题时，它会向开发人员交付一整套运行时证据：

• 完整的网络可见性： 原始 PCAP 网络流量文件，以及展示确切 API 载荷的清晰请求/响应日志。
• 深入的系统上下文： 实时堆栈跟踪和设备崩溃日志，精确定位代码在执行过程中失败的位置。
• 可视化证明： 同步的屏幕截图和逐步的可视化回放日志，展示引擎为触发漏洞利用而交互的确切按钮和界面。

您的开发人员永远不必猜测问题出在哪里。他们拿到这些产物，就能看到导致泄露的确切网络请求或 UI 操作序列，并立即着手修补。

5. 全球应用获取与按地区限制的测试

测试只在特定地区发布的应用可能是一场后勤噩梦，团队通常不得不从第三方网站手动寻找本地化的 APK 或 IPA。

Ostorlab 彻底消除了这一麻烦。您可以直接在平台上按国家原生搜索 App Store 或 Play Store。如果您想测试一款仅在某个特定国家上架的应用，只需选择该地区，Ostorlab 就会自动拉取正确的本地化二进制文件。这确保您的全球应用组合以各地区用户实际体验的方式接受测试。

第 2 部分：可选的超能力：Agentic Deep Scan

我们的基础移动 DAST 已经让您的团队相对标准动态分析工具拥有巨大优势。但如果您的威胁模型要求的测试超出了捕获回归缺陷和标准运行时崩溃的范畴，又该怎么办？

过去，要找出复杂的业务逻辑错误、权限提升路径和多步骤授权绕过，需要聘请昂贵的人工渗透测试公司。标准自动化扫描器无论规则多么完善，都根本不具备将逻辑弱点串联起来所需的创造性问题解决能力。

正是在这一点上，Ostorlab 与 Quokka Q-mast 等工具彻底拉开了差距。为了填补自动化 DAST 与人工咨询之间的空白，Ostorlab 推出了 Agentic Deep Scan，这是一个可选的自主 AI 渗透测试模块，就像一位在您的 CI/CD 流水线中不知疲倦工作的人类研究员。

1. 当基础 DAST 不够用时

标准 DAST 是您的日常主力。它能捕获容易发现的问题、验证运行时配置，并确保您的应用在每个拉取请求上都通过持续的安全检查。然而，某些漏洞类别需要类似人类的直觉。

设想这样一个端点：在创建资源时，攻击者可以在 POST 请求中传入一个已存在的 ID，从而把他人数据的所有权转移给自己。传统扫描器每次都会漏掉这种对象级授权失效（BOLA/IDOR）漏洞，因为服务器返回的是有效的 200 OK 响应。语法正确，但逻辑已被破坏。要捕获这类复杂缺陷，您需要一个能够理解应用上下文、建立假设并主动尝试破坏业务逻辑的引擎。

2. Agentic Deep Scan 带来了什么

当您启动 Agentic Deep Scan 时，运行的并不只是一份预设的载荷列表。您部署的是一个自主 AI 智能体，它会由内而外地主动调查您的应用。

在发起任何测试之前，引擎会对您的移动二进制文件进行逆向工程。它会梳理出内部深度链接、WebView、URL 处理程序和候选函数，并自动反编译相关代码，以理解各组件之间如何交互。一旦在内部构建出应用的“心智地图”，智能体就开始规划攻击。它会遍历复杂的已认证用户旅程，处理双因素身份验证（2FA）和一次性密码（OTP）屏障，并测试客户端的信任边界。

引擎不会把大量高噪声告警倾倒到您的 Jira 看板上，而是只报告它能够实际利用的问题。每一个发现都附有证明级证据：确切的请求和响应日志、设备崩溃遥测数据，以及逐步的屏幕截图，向工程师准确展示漏洞利用是如何发生的。

3. 自动化验证复测

应用安全中最令人沮丧的瓶颈之一，是开发人员与安全分析人员之间无休止的来回往复。开发人员为一个严重逻辑漏洞发布了补丁并将工单标记为已解决，但安全团队直到下周才有精力手动重新测试应用。

Agentic Deep Scan 通过 验证复测（Verification Retesting） 将整个反馈闭环自动化。一旦开发人员推送了代码修复，智能体就会在真实物理设备上重新启动目标应用，并重新运行最初攻破应用时所用的那条完全相同的多步骤漏洞利用链。如果修复有效，工单就会附带经过确认的修复证明自动关闭。开发人员可以立即确认补丁是否生效，而无需等待人工环节。

4. 受管控的 AI 算力（Cyber Models 与 BYOK）

利用前沿 AI 模型进行安全测试听起来很美好，直到云基础设施账单寄来。不受控制的 AI 智能体会迅速消耗大量令牌，导致账单难以预测，让 CFO 惊慌失措。Quokka Q-mast 采用传统的软件许可模式，没有托管的智能体基础设施，如果团队想集成 LLM 工作流，只能自行解决。

Ostorlab 通过 Cyber Models 原生解决了预算问题，这是一个托管的预付费 AI 基础设施层级。您的团队无需同时管理多个外部 API 密钥或担心速率限制，而是使用预付费额度为统一的工作区钱包充值。在深度扫描启动之前，您可以选择一个投入档位（Core、Advanced 或 Elite），从而设定严格的支出上限。您可以在受管控的前提下使用 GPT-5.5 Cyber 和 Opus 4.8 等强大的安全模型。最棒的是，如果 AI 较早发现了漏洞并提前完成调查，所有未使用的令牌都会自动退回到您的工作区钱包中。

对于有严格内部数据政策的组织，Ostorlab 还支持 BYOK（Bring Your Own Key，自带密钥）。您可以接入自己企业的 AI 提供商凭据，并设置硬性的“Max Spend per Scan”护栏，确保深度探索始终合规、可预测且完全在您的掌控之中。

第 3 部分：全栈攻击面与自动化修复

发现客户端缺陷固然很好，但一款止步于设备边缘的移动扫描器，会让您最大的盲区完全暴露在外。在现实中，移动端安全事件很少是因为攻击者窃取了本地 SQLite 数据而发生的；它们之所以发生，是因为某个客户端漏洞打开了服务器端后端缺陷的大门。

为了给 DevSecOps 团队提供全面的可见性，Ostorlab 将移动应用扫描直接与后端基础设施、主动防御验证以及开发人员修复工作流连接起来。以下是 Ostorlab 如何扩展攻击面，同时帮助开发人员以前所未有的速度修复缺陷。

1. 后端 REST 与 GraphQL API 扫描

纵观 Quokka Q-mast，其重心在于编译后的移动二进制文件及其软件物料清单（SBOM）。这对于软件供应链合规固然必不可少，但它忽略了支撑您应用运行的后端服务器。如果您的应用与存在漏洞的 REST 端点或存在泄露的 GraphQL API 通信，仅针对二进制的扫描器将完全错过这一威胁。

Ostorlab 将您的移动应用及其后端 API 视为一个统一的生态系统。在引擎探索应用的同时，它会拦截网络流量、梳理函数调用并测试服务器端通信。它会在 500 多个不同的漏洞类别中，主动寻找客户端到服务器的逻辑缺陷、后端注入点和数据泄露。Ostorlab 不会让您的安全团队对服务器端风险视而不见，而是能捕获横跨移动客户端和云基础设施的完整漏洞利用链。

2. 主动加固验证 vs. 被动代码混淆检查

如果您的工程团队购买了商业代码混淆或运行时应用自我保护（RASP）方案，您需要知道这些防御措施在压力下是否真的有效。传统扫描器通常满足于被动检测：它们扫描您的二进制文件，看到一个已知的代码混淆库，就在静态合规清单上打个勾。但“存在”并不等于“有效”。

Ostorlab 用 Mobile Shielding Scan 取代了纸面上的检查清单，这是一个在真实 iOS 和 Android 物理设备上验证运行时防御的自动化测试模块。一名自适应的 AI 分析员会主动攻击您的应用，部署实时调试器、Hook 函数，并针对 Root 检测、防篡改和 SSL 证书锁定执行交互式绕过循环。

如果某一防御层失效，Ostorlab 会为您提供确凿的绕过证明。如果防护经受住了 AI 的攻击，您将获得一个经过验证、并直接映射到 OWASP MASVS 等全球移动安全标准的强度评级。您可以把“我们希望应用是受保护的”变成确定无疑的工程证明。

3. 加权的企业应用安全审查

企业安全负责人在审计大型应用组合时，常常饱受告警疲劳之苦。基础扫描器会倾倒出扁平、高噪声的严重程度列表，把一个轻微的数据隐私警告与一个严重的远程代码执行漏洞同等对待。

Ostorlab 通过 App Vetting 解决了这一噪声问题，这是一个专为企业审批打造的风险评估框架。平台不会用未经验证的工单塞满您的收件箱，而是结合静态分析、动态测试和安全沙箱执行，在五个关键维度上计算结合上下文的加权风险评分：

• 恶意软件（35%）： 检测恶意行为、木马和可疑的遥测活动。
• 安全（25%）： 梳理可被利用的运行时和代码级漏洞。
• 隐私（20%）： 审计未经授权的数据追踪和第三方数据共享。
• 可信度（10%）： 验证应用签名证书和安装来源的合法性。
• 可维护性（10%）： 评估过时的依赖和架构老化。

这种结构化的评分模型可以让您的安全委员会立即知道一款新的移动应用能否安全地部署到公司设备上，使企业风险管理清晰且可预测。

4. 深度隐私扫描与合规

除了安全缺陷，DevSecOps 团队还必须管理监管风险。Ostorlab 提供全面的 Privacy Scan，帮助您准确了解应用收集了哪些数据、如何收集，以及对用户隐私的影响。该扫描会深入分析您的数据收集实践，帮助您遵守隐私法规，并主动识别未经授权的第三方追踪或数据泄露。

5. 一键修复与持续的生命周期验证

发现安全缺陷只完成了一半工作；在下一个发布截止日期之前修复它们，才是工程团队通常会卡住的地方。生成静态 SBOM 报告并提交 Jira 工单固然有帮助，但开发人员仍需花费数小时手动研究如何编写补丁。

Ostorlab 通过 一键自动修复 形成闭环。通过直接连接您的源代码仓库（支持 GitHub、GitLab、Bitbucket 和 Azure DevOps），Ostorlab 会将存在漏洞的反编译二进制文件与您的原始代码一同分析。当 AI 检测到问题时，它会生成专门针对您应用架构定制的安全代码建议。

您的开发人员无需在通用文档中苦苦寻找。他们可以在日常工作流中审查 AI 推荐的代码差异，一键应用补丁，将平均修复时间（MTTR）从数小时缩短到几分钟。

此外，Ostorlab 还提供 贯穿测试周期的验证。当应用被扫描且我们没有再发现该漏洞时，它就会被标记为已修复并已验证。这种持续验证确保您的安全态势始终保持最新，并免去了手动分级处理工单的需要。

何时选择 Ostorlab 而非 Quokka

Ostorlab 专为高速工程团队和现代全栈应用架构而打造。如果符合以下情况，您就应该部署 Ostorlab：

• 您构建跨平台或混合应用： 您的开发人员使用 Flutter、React Native、MAUI、Kotlin 或 Swift 交付代码，而您需要一款能够原生理解这些框架、且不会出错的运行时扫描器。
• 您的应用依赖复杂的身份验证和自我防护： 您需要一款扫描器，能够自动绕过 TLS 证书锁定和代码混淆，在 2FA 或 OTP 登录界面中保持持久会话，并使用真实物理设备主动测试 RASP 防御层。
• 您关注服务器端 API 安全： 您意识到移动端漏洞通常与您的基础设施相关联，希望使用一款统一的扫描器，同时测试客户端应用及其后端 REST 或 GraphQL 端点。
• 您希望消除人工渗透测试的瓶颈： 您希望能够启动 Agentic Deep Scan，自主串联逻辑漏洞利用，并自动验证开发人员的补丁是否真正生效。
• 您需要面向开发人员的一键修复： 您不想再把充满噪声的 PDF 报告丢给工程师，而是希望将 AI 生成的代码修复直接送入他们的 GitHub、GitLab、Jira 或 Azure DevOps 工作流。

常见问题

DevSecOps 工程师在评估 MAST 平台时，通常会提出直接且高度技术性的问题。以下是围绕 Ostorlab 和 Quokka Q-mast 最常见问题的清晰、权威的解答。

Ostorlab 的基础移动 DAST 与 Quokka Q-mast 有何不同？

虽然这两款工具都能在不访问源代码的情况下进行动态分析，但它们在运行时的执行方式不同。Quokka Q-mast 依赖预先配置的执行路径和手动编写的脚本。Ostorlab 借助基于提示词的流程定制几分钟即可完成设置，原生绕过 TLS 证书锁定和代码混淆，在复杂的登录界面中保持已认证会话，并向开发人员提供 PCAP 抓包和堆栈跟踪等完整的运行时证据。

Ostorlab Mobile DAST 与 Agentic Deep Scan 有什么区别？

Ostorlab Mobile DAST 是一款为日常 CI/CD 流水线集成而打造的自动化运行时扫描器，可在每个拉取请求上捕获回归缺陷和标准漏洞。Agentic Deep Scan 是一个可选的自主 AI 渗透测试引擎，就像一位随叫随到的人类黑客。它会反编译代码、将复杂的逻辑缺陷串联起来、处理 2FA 或 OTP 屏障，并在开发人员推送补丁后自动重新测试应用。

Ostorlab 能否自动测试需要身份验证的移动应用工作流？

可以。与遇到登录关口就失效的传统扫描器不同，Ostorlab 具备高级身份验证处理能力。它能原生处理多步骤登录、OAuth 流程、双因素身份验证（2FA）和一次性密码（OTP），确保您受保护的用户旅程和账户管理界面得到深度动态测试。

与 Ostorlab 相比，Quokka Q-mast 会扫描后端 API 吗？

Quokka Q-mast 几乎完全以编译后的移动二进制文件及其 SBOM 为中心。Ostorlab 则将移动应用及其后端 API 视为一个整体生态系统。在扫描应用的同时，Ostorlab 会主动拦截网络流量，并测试后端 REST 和 GraphQL 端点是否存在客户端到服务器的逻辑缺陷、注入漏洞和数据泄露。

两个平台如何处理 AI 算力预算和令牌成本？

Quokka 采用传统的软件许可模式，没有托管的智能体 AI 基础设施。Ostorlab 通过 Cyber Models 这一托管的预付费算力层级来化解 AI 计费风险。您为工作区钱包充值，在扫描启动前选择一个设有严格支出上限的投入档位，扫描结束后未使用的令牌会自动退款。Ostorlab 还支持 Bring Your Own Key（BYOK，自带密钥），以满足内部合规要求。

本对比的局限性

• 厂商的能力、定价和文档经常变化。有关 Quokka Q-mast 的细节自 2026 年 7 月 15 日以来可能已发生变化。
• 本文未针对检测率、误报率或扫描速度进行任何独立的基准测试。
• 本文未报告对 Quokka Q-mast 的实际上手测试。关于 Quokka Q-mast 的陈述反映的是其公开资料；关于 Ostorlab 的陈述反映的是 Ostorlab 自己的产品文档。
• 请直接向各厂商核实当前的能力、定价和部署选项，最好使用您自己的应用对两个平台进行测试。

结论与后续步骤

移动威胁形势已经发生变化，您的安全工具也需要随之演进。仅仅依赖静态二进制分析、基础的 SBOM 检查清单或僵化的动态扫描器，会让工程团队对导致现代安全事件的复杂全栈漏洞视而不见。

虽然 Quokka Q-mast 为传统合规要求提供了有价值的合规跟踪，但 Ostorlab 代表着移动应用安全测试的未来。Ostorlab 将几分钟即可部署的基础 DAST 与自动化加固验证、全栈 API 检查、面向开发人员的一键修复以及可选的 Agentic Deep Scan 引擎相结合，为 DevSecOps 团队提供了高速交付安全代码所需的工具。

已经在使用 Quokka Q-mast？ 在同一款应用上对比 Ostorlab 与 Quokka Q-mast：相同的目标，相同的时间限制。只有在您的团队复现之后，一个发现才算数。