Bb Local Toolkit (Grade F)Umiejętność testowania bezpieczeństwa przetestowana pod kątem bezpieczeństwa dla Claude AI. Klasa F.

Dlaczego istnieje to?

Wiele ustawień poszukiwacza błędów z Claude jest zbyt ogólne (jedna duża "bezpieczeństwa" polecenia) lub zbyt rozproszonych (zapisz 30 ujawnionych raportów i przeczytaj je ponownie podczas każdego kontaktu). Nierozumiem na skali dalej niż drugi cel. Ten zestaw został zbudowany i weryfikowany w ramach autoryzowanych wykonywań, które ujawniły różne lukę w zabezpieczeniach: Wykonywanie nagród błędów - ujawniono cztery lukę, które starter 3-skil stack nie mógł zamknąć: 1. Brak dyscypliny hipotez - szkice napisane przed weryfikacją → zbyteczna kilka godzin, zraniony współczynnik ważności 2. Brak skutecznych taktyk raportowania programu - domyślne VRT zmniejszacono znajdowanie P3 godny o P4 3. Brak współpracy podczas wykonywania - oznaczenia, dowody i identyfikatory submisji rozrzucone wokół folderów 4. Brak higieny dowodów - zrzuty ekranu ujawniły ciasteczka i PII ofiary Inne wykonywanie czerpania od spodziewanych luk - ujawniło pięć dodatkowych luk, które ustawienia pojemności początkowego pogorszyły: 1. Konserwatywne domyślne ustawienia cofnęły prawdziwe znaleziska - ustawienia WAPT zatrzymały próby na szybko na broniących się celach, gdzie czerpanie od spodziewanych luk na kontynuację by czerpanie od spodziewanych luk → czerpanie - od spodziewanych luk 2. Brak świadomości sytuacyjnej w trakcie wykonywania - klient SOC naprawił potwierdzony wykrycie SQL w 30 minut, zewnętrzny atakujacy zablokowal 14 konta podczas żywe

Asked by Marcus Bell · Apr 3, 2026

Dlaczego model przeszedł na inną wersję po środku sesji?

Oprócz odmów, a co więcej łatwo go przegapić. W Opusie 5, szerszy zakres bardziej ryzykownych prośb związanych z cyberbezpieczeństwem - w tym generowanie nazw, skanowanie wrażliwości i testowanie odparcia - skłania się do Opusa 4.8 zamiast odmowy. Otrzymujesz powiadomienie i odpowiedź jest oznaczona modelem odpowiednio, ale w długim, agencyjnym przebiegu może być łatwo pominąć. Zobacz dlaczego Claude zmienił model. Zależnie od tego czego chcesz dokonać: | Sytuacja | Co pomaga | |---|---| | Przegląd własnego kodu - przegląd repozytorium własnego w poszukiwaniu błędów | Powiedz to wprost. "Defensywny przegląd mojego repozytorium", "sprawdź to zgodnie z OWASP TOP 10", "zabezpieczające przebudzenie, aby zaradzić" opisują pracę dokładnie i brzmią jak usunięcie | | Ofensywna praca autoryzowana - działania w sytuacji żywej, POC do wpłaty nagrody | Jest to to, czego pakiet jest przeznaczony, i popierana trasa CVP. Nie skręć ofensywnego zaangażowania, aby wyglądać defensywnie, aby ominąć klasyfikator - zapisuj się zamiast tego. | | Przełącz się z automatycznego włącznie przycisku na wyłączone - Ustawienia → Właściwości | /hunt określa kontekst zaangażowania (autoryzowane, zakresowana, znajduje się w odnosi do odnalezienia) na pierwszym swoim ruchu w dokładnie tym powodem - kontekst zaangażowania należy umieścić w sesji explicit, a nie dopuszczać do domyślnych wskazówek.

Asked by Noelia Campos · Mar 15, 2026

Jak to działa?

6‑fazowy, nieliniowy przepływ pracy — recon → map & rank → hunt → validate → report — z zakresem wymuszonym w kodzie i 7‑pytańową bramą przed czymkolwiek jest wysyłane. Dwa sposoby na uruchomienie: Plain English — opisz, co testujesz, a odpowiednie obciążenia umiejętności zostaną automatycznie przypisane. /hunt scaffold + cbh CLI — struktura folderu zaangażowania, stan i orkiestracja. Zawiera przewodnik po użyciu i przykładowy przypadek, architekturę 6‑fazową oraz mapę umiejętności do faz oraz CLI cbh.

Asked by Ravi Chandrasekaran · Mar 3, 2026

What's inside?

82 umiejętności, automatycznie ładowane według tematu — bez wywoływania po nazwie. Pokrycie całej zewnętrznej powierzchni ataku: | Kategoria | # | Przykłady | |---|---|---| | Łapanie aplikacji webowych | 13 | XSS, SQLi, SSRF, IDOR, LFI, SSTI, XXE, CSRF, CORS, open-redirect | | Autoryzacja i tożsamość | 7 | auth-bypass, session, OAuth, SAML, MFA-bypass, ATO | | API i infrastruktura | 15 | GraphQL, gRPC, WebSocket, API-misconfig, host-header, RCE | | Zaawansowane i współbieżność | 6 | race-condition, HTTP smuggling, deserialization, cache-poison | | Specyficzne dla frameworków | 4 | Next.js, Node.js, Laravel, Spring Boot | | Identyczność korporacyjna i chmura ★ | 3 | M365/Entra, Okta, cloud- IAM-deep | | Infrastruktura i urządzenia ★ | 4 | VMware vCenter, enterprise VPN, SharePoint, ASP.NET/NTLM | | Tradycja red-teamu ★ | 4 | redteam-mindset, APK pipeline, supply-chain recon, mid-engagement IR | | Rozpoznanie i OSINT | 4 | web2-recon, offensive-osint, subdomain | | Przepływ pracy, raportowanie i specjalne | 11 | methodology, triage-validation, evidence-hygiene, VRT-aware reporting | Pełny, wyszukiwalny katalog → docs/skills.md. Dostarcza także 15 poleceń slash (/hunt, /recon, /report, …) i deterministyczny silnik zaangażowania (engine/) mapujący powierzchnię ataku celu i kierujący każde odkrycie do umiejętności, która się o to zajmuje.

Asked by Dumisani Ndlovu · Feb 13, 2026

Czym jest to?

Claude Bughunter jest zestawem umiejętności wideo do wbudowania w system umiejętności Claude Code. Instalacja odbywa się tylko raz, a Claude Code przestaje działać jak chatbot i staje się ekspertem w poszukiwaniu błędów lub operatorem czerwonej drużyny: zna techniki, szablony łańcuchowe, mapowania VRT, łańcuchy CVE platformy oraz higienę — i zawsze pozostaje na wypolerowanym poziomie. Cztery warstwy są połączone: Myśl — metodyka bb + umysł czerwonej drużyny: niedostępny 5-fazowy przepływ nie-linearowy, ramy kritycznego myślenia, dyscyplina operacji czerwonej drużyny. Łowić webapp - 48 umiejętności łowienia przetestowanych z 681 ogłoszonych raportów HackerOne: wzory rozpoznawania klasy, ład, tabela ucieczki i szablony łańcucha. Dotknij obwodu - łańcuchy platformy przedsiębiorstwa (M365/Entra, Okta, vCenter, SSL-VPN, SharePoint, cloud IAM): obecne łańcuchy CVE od 2024-2026 r. + post-uznanie escalation. Odeślacze - weryfikacja-triacycja + raportowanie + oczyszczanie dowodów: Ptasznik siedmiu pytań, wersja VRT, odmówki OOS, redakcja PII, a także dokumenty czerwonej drużyny. Wszystko jest aktywowane automatycznie przez temat - opisz, co testujesz w języku angielskim i relevantne umiejętności załaduj. Brak deklaracji przez nazwę.

Asked by Mireille Dupont · Jan 18, 2026