Bb Local Toolkit (Grade F)Sikkerhetstestet testing-sikkerhetsferdighet for Claude AI. Grader F. Fullstendig bug bounty arbeidsflyt — rekognoscering (subdomeneenumerering, eiendomsoppdagelse, fingerprinting, HackerOne scope, kildekode-revisjon), pre-hu

Hvorfor finner dette eksistensen?

De fleste setup-konfigurasjoner for Claude for bug-jakt er enten for generiske (en stor "sikkerhet" prompt) eller fragmenterte (du bøker 30 oppklarte rapporter og les dem på ny hver gang). Ingenting skalerer etter det andre målet. Dette pakkevarer ble bygget og valideret gjennom autoriserte engasjementer som vist forskjellige evnebrister. Bug-præmie-engasjement – surfet forfire brister som noen 3 ferdighetsstakk ikke kunne lukke: 1. Innsatsforslag ikke i disiplin - fremlegg skrevet før validering → slukket timer, skadet gyldighetsforhold 2. Innsatsrapportering taktiker ikke på programnivå - VRT-standarden nedgraderte automatisk P3-verdige funn til P4 3. Innsatskoordinering ikke - funn, bevis og innleverings-IDer spredt utenfor mapper 4. Bevisegiene ikke - skjermbilder slapp ut cookies og privat informasjon på klient PII Rødvakt-engasjement – viste fem flere gap som forhånden brukte felter fra bughunter forverret: 1. Konservative felter rektredte virkelige funn - WAPT-måten holdt på å avslutte på forsvarsklienter hvor rødvakt fortsettelse ville ha oppdaget slåplasser → rødvakt -måten 2. Innsatskoordinering ikke – midt- i en engasjement situationell bevissthet - kundesikkerhetsavdeling fikk tilpasset bekreftet SQL-intrikationer innen 30 minutt; ekstern attacker låste på 14 konti på en live test-sessjon – begge usynlige uten eksplisitt oppdett metodologi → midt-i-engasjement-ir-detection 3. Innsatskoordinering ikke – større-selskap-plattform-angrepskjeder – M365 + Entra ID, på-plass ShareP – point Cisco SSL VPN, vCenter, og 7 Android APK alle nødvendige eksakt 2024–2026 CVE kjenninger og plattform-specifik erfaringskjeder → m365-entra

Asked by Marcus Bell · Apr 3, 2026

Hvorfor byttet deres modell midt om i sesongen?

Uavhengig av avvisninger og enkelt å unnskylde. Oppus 5 faller tilbake til Oppus 4.8 hvis det er en smal sete av høyere risiko cyber-forespørsler — Anthropic navn utnyttelse generering, binær baserte svakepunsj scanning og penetrerte tester — istedenfor å bli avvist. Du får en bemerkning og responsen er merket med modellen som svarte. Men i en langtgående agensiv session som er lett å scrolla forbi, kan det se ut som Oppus 5 stillede det dårligere av seg. Se hva som har skjedd med Claude. Hva å gjøre avhenger av hva du faktisk gjør: | Situasjon | Hva som hjelper | |---|---| | Auditing av egen kode – gjennomgang av et repo du eier for feil | Si så. "Forsvarlig gjennomgang av egen repo", "jeg kontrollerer dette mot OWASP Top 10", "sikker reopning til å besevirke" beskriver arbeidet nøyaktig og leses som en oppdatering. | | Godtgjort angrepshåndtering – direkte engasjement, PoC for en bounty-innlevering | Dette er det her bundleet er for, og den støttede ruten er CVP. Gjør ikke om et angrep som å se ut til å være forsvarlig for å komme forbi en klassifisere – registrer isteden. | | Du ville bare at modellen ikke skulle bytte | Instillinger → Forespørsler deaktiverer automatisk modellbytte. | /hunt tilfører en sesongbetinget ramme (godkjent, omfangsnedsatt, tilgjengelig oppdagelse) på sin første tur for denne årsaken – sesongkontekst tilhører sessionen åpent, ikke anngitt.

Asked by Noelia Campos · Mar 15, 2026

Hvordan virker det?

En 6-fas, ikke-linær arbeidsflyt med scope i kode og 7-spørre-porten før noe sendes. To måter å styre det: Enkelt-engelsk — beskriv hva du tester og relevante ferdigheter blir automatisert opploft. /hunt scaffold + cbh CLI — engagement-mappen, tilstand og orchestrasjon. Inkluderer en bruksanvisning og eksempel, 6-fasarkitektur & ferdighets-fasemap, og cbh CLI.

Asked by Ravi Chandrasekaran · Mar 3, 2026

Hva ligger inne?

82 ferdigheter, Auto-lastet basert på emne – ingen invokasjon ved navn. Dekke over ytterlige angrepsflater: | Kategori | # | Eksempler | |---|---|---| | Webbløpsjakt | 13 | XSS, SQL-injeksjon, SSRF, IDOR, LFI, SSTI, XXE, CSRF, CORS, åpen redirect | | Autentisering & identitet | 7 | autentisering-bypass, sesjon, OAuth, SAML, MFA-bypass, ATO | | API & infrastruktur | 15 | GraphQL, gRPC, WebSocket, API-misconfig, vertskabstoppheader, RCE | | Avansert & concurrency | 6 | race-forhold, HTTP smuggling, deserialisering, cache-fortråd | | Sementspesifikk | 4 | Next.js, Node.js, Laravel, Spring Boot | | Enterprise-identitet & sky | 3 | M365/Entra, Okta, cloud-IAM-dyb | | Infrastruktur & apparat ★ | 4 | VMware vCenter, enterprise VPN, SharePoint, ASP.NET/NTLM | | Rød-team-handledning ★ | 4 | Rødteam-mindset, APK-pipeline, levert-kjede-analyse, mid-imengagement IR | | Forespørsel & OSINT | 4 | web2-forespørsel, offensiv-OSINT, underdomene | | Workflow, rapportering & spesialisert | 11 | metode, triage-gyldigering, bevis-hygjen, VRT-vedrørende rapportering | Full søkbare katalog → docs/ferdigheter.md. Også forlater 15 skrå kommandoer (/jakt, /forespørsel, /rapport, …) og en deterministisk engasjementsmotor (motor/) som kartlegger en måls mål-superface og roterer hver funn til den ferdighet som håndtager det.

Asked by Dumisani Ndlovu · Feb 13, 2026

Hva er dette?

Claude-bughunter er en drop-in komponentpakke for Code-skille-systemet. Installér den en gang og Claude Code slutter å være en chatbot og begynner å oppføre seg som en senior forsker eller rødteamoperatør: det kjener teknikker, kjeder av mallene, VRT-mappinger, plattform-CVEkjeder, og hygienen – og det holder innenfor rammen. Fire lag stakker seg: Tenk – bb-metodologi + redteammindre: den fem-fase ikke-lineære arbeidsflyten, kritisk-tenkning-framework, og rødteamoperatordisciplin. Jakt på webapplikasjoner – 48 jakt-skilder samlet fra 681 offentliggjorte HackerOne-rapporter: per-klasses deteksjonsmønster, lastpunkter, unngåelses-tabeller, og kjeder av mallene. Trykk på periferien – virksomhetsplattformkjeder (M365/Entra, Okta, vCenter, SSL-VPN-apparater, SharePoint, cloud IAM): de aktuelle 2024–2026 CVE-jaktkjedene + post-kredittiltrinnssteg. Send det – triage-verifisering + rapportering + egenheten hygien: 7 Spørsmålsgate, VRT-forklar bare alvorlighetsgrad, OOS-invendingsreplikker, PII-redigering, og rød-teamlivetsleveranser. Alt aktiveres automatisk etter tema – beskriv hva du tester på plain English og relevante skille-last. Ingen opkalling etter navn.

Asked by Mireille Dupont · Jan 18, 2026