Bb Local Toolkit (Grade F)Beveiligingsgeteste testbeveiligingsvaardigheid voor Claude AI. Grade F.

Waarom bestaat dit?

De meeste bug‑huntingsetups voor Claude zijn ofwel te algemeen (een groot “security” prompt) of te gefragmenteerd (je boekt 30 openbaar gemaakte rapporten en herleest ze bij elke opdracht). Geen van beide schaalbaar voorbij het tweede doelwit. Dit bundel werd gebouwd en gevalideerd via geautoriseerde opdrachten die verschillende capaciteitslacunes blootlegden: 1. Bug‑bounty‑opdracht – liet vier lacunes aan een starter 3‑vaardigheden‑stack zien die niet konden worden gedicht: 1. Geen hypothes discipline – concepten geschreven vóór validatie → verspilde uren, verlaagde validiteitsratio 2. Geen per‑programma‑rapportage‑tactieken – VRT‑standaarden degraderen automatisch P3‑waardige bevindingen naar P4 3. Geen opzet‑coördinatie – bevindingen, bewijsmateriaal en indienings‑ID’s verspreid over mappen 4. Geen bewijs‑hygiene – screenshots lekken cookies en PII van het slachtoffer 2. Externe red‑team‑opdracht – blootstelde vijf extra lacunes die de standaard bug‑bounty‑instellingen verslechterden: 1. Conserveert de standaardinstellingen echte bevindingen terug – WAPT‑mindset stopt tests vroeg op verdedigde doelwitten waar red‑team‑continuatie bypass‑ketens had kunnen onthullen → red‑team‑mindset 2. Geen situational awareness tijdens de opdracht – de SOC van de klant patchte bevestigde SQLi binnen 30 min; een externe aanvaller vergrendelde 14 accounts tijdens een live test‑sessie – beiden onzichtbaar zonder expliciete detectiemethodologie → mid‑engagement‑ir‑detection 3. Geen enterprise‑platform‑aanvals‑ketens – M365 + Entra ID, on‑prem SharePoint, Cisco SSL VPN, vCenter en 7 Android‑APKs vereisten actuele 2024‑2026 CVE‑kennis en platform‑specifieke tradecraft → m365‑entra‑attack

Asked by Marcus Bell · Apr 3, 2026

Waarom is uw model halverwege de sessie overgeschakeld?

Naast weigeringen, en gemakkelijk over het hoofd gezien. Op Opus 5 vallen een beperkt aantal hoger‑risico cyber‑verzoeken — Anthropic noemt het exploit‑generatie, binaire kwetsbaarheidsscans en penetratietesten — terug op Opus 4.8 in plaats van geweigerd te worden. U krijgt een melding en de respons wordt gelabeld met het model dat heeft gereageerd, maar in een lange agentische run is het gemakkelijk om dat over te slaan, waardoor het lijkt alsof Opus 5 stilleerde slechter werd. Zie waarom Claude het model heeft gewijzigd. Wat te doen hangt af van wat u daadwerkelijk doet: | Situatie | Wat helpt | |---|---| | Uw eigen code audit – een repo die u bezit controleren op defecten | Zeg het zo. "Verdedigende review van mijn eigen repo", "controleer dit tegen de OWASP Top 10", "beveiligende refactor om te remedieren" beschrijven het werk nauwkeurig en lezen als remedie. | | Geautoriseerd offensief werk – live‑engagement, PoC voor een bounty‑indiening | Dit is waarvoor het bundel is, en de ondersteunde route is CVP. Herformuleer geen offensief engagement als defensief om een classifier te omzeilen – meld u in plaats daarvan aan. | | U wilt gewoon de schakelaar uitschakelen | Instellingen → Capaciteiten schakelt automatische model‑switching uit. | /hunt geeft het engagement‑frame (geautoriseerd, scope‑gebonden, remedial find) op zijn eerste beurt voor precies deze reden – de engagement‑context hoort expliciet in de sessie te staan, niet impliciet.

Asked by Noelia Campos · Mar 15, 2026

Hoe werkt het?

Een 6‑fase, niet‑lineaire workflow — recon → map & rank → hunt → validate → report — met scope die in code afdwingt en een 7‑vraagpoort voordat iets wordt ingediend. Twee manieren om het te sturen: Plain English — beschrijf wat je test en de relevante vaardigheidsbelastingen worden automatisch geladen. /hunt scaffold + cbh CLI — engagement‑folderstructuur, staat, en oriëntatie. Inclusief een gebruiksgids en werkend voorbeeld, een 6‑fasearchitectuur & vaardigheid‑naar‑fasekaart, en de cbh CLI.

Asked by Ravi Chandrasekaran · Mar 3, 2026

Wat zit erin?

82 vaardigheden, automatisch geladen per onderwerp — zonder invoer per naam. Dekking van de externe aanvalssurface: | Categorie | # | Voorbeelden | |---|---|---| | Webapplicatiejacht | 13 | XSS, SQLi, SSRF, IDOR, LFI, SSTI, XXE, CSRF, CORS, open‑redirect | | Authenticatie & identiteit | 7 | auth‑bypass, sessie, OAuth, SAML, MFA‑bypass, ATO | | API & infrastructuur | 15 | GraphQL, gRPC, WebSocket, API‑misconfig, host‑header, RCE | | Geavanceerd & concurrerend | 6 | race‑condition, HTTP smuggling, deserialisatie, cache‑poison | | Specifiek voor framework | 4 | Next.js, Node.js, Laravel, Spring Boot | | Enterprise identiteit & cloud ★ | 3 | M365/Entra, Okta, cloud‑IAM‑deep | | Infrastructuur & appliance ★ | 4 | VMware vCenter, enterprise VPN, SharePoint, ASP.NET/NTLM | | Red‑team tradecraft ★ | 4 | redteam‑mindset, APK pipeline, supply‑chain recon, mid‑engagement IR | | Recon & OSINT | 4 | web2‑recon, offensive‑osint, subdomein | | Workflow, rapportage & gespecialiseerd | 11 | methodologie, triage‑validatie, bewijs‑hygiene, VRT‑bewuste rapportage | Volledig doorzoekbaar catalogus → docs/skills.md. Ook levert het 15 slash‑commands (/hunt, /recon, /report, …) en een deterministische engagement‑engine (engine/) die de aanvalssurface van een doelwit in kaart brengt en elk resultaat routeert naar de vaardigheid die het behandelt.

Asked by Dumisani Ndlovu · Feb 13, 2026

Wat is dit?

claude-bughunter is een plug‑in vaardighedenpakket voor het Claude Code vaardighedensysteem. Installeer het één keer en Claude Code stopt met het functioneren als chatbot en begint te gedragen als een senior bug‑hunter onderzoeker of red‑team operator: het kent de technieken, de keten‑sjablonen, de VRT‑mapping, de platform CVE‑ketens en de hygiëne — en blijft binnen scope. Vier lagen stapelen: Think — bb‑methodologie + redteam‑mindset: de 5‑fase niet‑lineaire workflow, het kritische‑denkwijzersysteem en de discipline van een red‑team operator. Hunt webapps — 48 jacht‑vaardigheden gecureerd uit 681 openbaar gemaakte HackerOne‑rapporten: detectie‑patronen per klasse, payloads, omzeillijsten en keten‑sjablonen. Hit the perimeter — enterprise platform ketens (M365/Entra, Okta, vCenter, SSL‑VPN-apparaten, SharePoint, cloud IAM): huidige 2024–2026 CVE‑ketens + post‑credentiële escalatie. Ship it — triage‑validatie + rapportage + bewijs‑hygiëne: de 7‑Vraagpoort, VRT‑bewuste ernst, OOS‑tegenwerpingen, PII‑redactie en red‑team deliverables. Alles wordt automatisch getriggerd per onderwerp — beschrijf in eenvoudig Engels wat je test en de relevante vaardigheids‑lader. Geen oproep per naam.

Asked by Mireille Dupont · Jan 18, 2026