Bb Local Toolkit (Grade F)Testirana varnostna veščina za Claude AI. Ocena F. Celoten delovni tok za bug bounty – preiskava (enumeracija poddomene, odkrivanje sredstev, prstni odtis, obseg HackerOne, pregled izvorne kode), pre-hu

Zakaj je ta obstaja?

Večina nastavitve za lovljenje napak Claude je bodisi preveč splošna (en velik “varnostni” poziv) ali pa preveč fragmentirana (označite 30 razkritih poročil in jih ponovno preberete pri vsakem sodelovanju). Nobena od teh ne doseže več drugega cilja. Ta paketa je bila zgrajena in potrjena skozi pooblaščena sodelovanja, ki so izpostavila različne vrzeli v zmožnostih: **Sodelovanje z nagradnim programom za odkrivanje napak** – izpostavilo je štiri vrzeli, ki jih začasni 3‑smerni nabor veščin ni mogel zapolniti: 1. Brez discipliniranega hipoteza – osnutki so bili napisani pred potrditvijo → izgubljene ure, zmanjšana verodostojnost 2. Brez taktik poročanja na ravni programa – privzete VRT samodejno degradirajo P3‑vzdelek vrednosti na P4 3. Brez koordinacije sodelovanja – odkritja, dokazi in ID-ji oddaje so razpršeni po mapah 4. Brez higiene dokazov – zaslonske slike razkrinjajo piškotke in PII žrtev **Zunanje sodelovanje red‑tima** – izpostavilo je pet dodatnih vrzeli, ki jih privzeti nastavitve nagradnega programa za odkrivanje napak še poslabšali: 1. Konzervativni privzeti nastavitve so preklicale dejanska odkritja – mentaliteto WAPT je ustavilo prekinitev testov na obranjenih ciljih, kjer bi red‑team nadaljevanje izpostavil zastradne verige → red‑team‑mentaliteto 2. Brez situacijske ozaveščenosti med sodelovanjem – klientski SOC je popravilo potrjeno SQLi v 30 minut; zunanja napadalec je zaklenil 14 računov med živo testno sejo – oboje je bilo nevidno brez izrecne metode zaznavanja → srednje‑sodelovanje‑ir‑zaznavanje 3. Brez verig napadov na podjetniška platforma – M365 + Entra

Asked by Marcus Bell · Apr 3, 2026

Zakaj je vaš model med sejo preklopil?

Ločeno od zavrnitve, in je lahko pregrešno. Na Opus 5 se skrajšan set visokorizičnih kibernetskih zahtev — imenovanje izkoriščevanje generiranja Anthropic, binarne iskanje ranljivosti in penetračno testiranje — vrača na Opus 4.8, namesto da bi bilo zavrnjeno. Prejmete obvestilo in odgovor je označen z modelom, ki je odgovoril, vendar je v dolgem agentskem poteku preprosto zasenkratno; tako lahko izgleda, kot da je Opus 5 tiho poslabel. Oglejte si, zakaj se je Claude preklopil na model. Kaj storiti, je odvisno od tega, kar dejansko počnete: | Situacija | Kaj pomaga | |---|---| | Pregledovanje lastne kode — pregledovanje repozitorija, ki ga lastite, za napake | Izjavite: "Opremljen pregled moje lastne repozitorije", "preverite to glede na OWASP Top 10", "varno refaktoriranje za odpravo" opišite delo natančno in berite kot odpravo. | | Odobrena ofenzivna naloga — živo sodelovanje, PoC za oddajo nagrade | To je namen paketa in podprt potek je CVP. Ne preoblikujte ofenzivnega sodelovanja, da bi izgledalo odbrambeno in se izognili klasifikatorju — namesto tega se vpišite. | | Želite samo izklop preklopa | Nastavitve → Možnosti onemogoči samodejni preklop modela. | | /hunt izjavlja okvir sodelovanja (odobreno, omejeno po obsegu, odpravljiv zisk) na prvem potezu iz popolne izloge — kontekst sodelovanja pripada seji eksplicitno, ne domneva.

Asked by Noelia Campos · Mar 15, 2026

How it works?

6‑fazni, ne‑linearen delovni tok — rekons – kartiranje in rangiranje – lov – validacija – poročilo — pri čemer je obseg določen v kodi in pred oddajo je potrebno prestati 7‑vprašalno vrata. Dva načina za pogon: navadno angleško – opisujete, kaj testirate, in relevantna bremena veščin se samodejno naložijo. /hunt scaffold + cbh CLI – struktura map za sodelovanje, stanje in orkestriranje. Vključuje vodnik za uporabo, praktičen primer, 6‑fazno arhitekturo in zemljevid veščin na faze ter cbh CLI.

Asked by Ravi Chandrasekaran · Mar 3, 2026

Kaj je v njem?

82 veščin, samodejno nalagane po temah – brez pozivanja po imenu. Pokritost zunanje napadalne površine: | Kategorija | # | Primeri | |---|---|---| | Lovljenje na spletne aplikacije | 13 | XSS, SQLi, SSRF, IDOR, LFI, SSTI, XXE, CSRF, CORS, open‑redirect | | Avtentikacija in identiteta | 7 | auth‑bypass, seansa, OAuth, SAML, MFA‑bypass, ATO | | API in infrastruktura | 15 | GraphQL, gRPC, WebSocket, API‑misconfig, host‑header, RCE | | Napredne in hkratne tehnike | 6 | race‑condition, HTTP smuggling, deserializacija, cache‑poison | | Specifično za framework | 4 | Next.js, Node.js, Laravel, Spring Boot | | Poslovna identiteta in oblak ★ | 3 | M365/Entra, Okta, cloud‑IAM‑deep | | Infrastruktura in naprave ★ | 4 | VMware vCenter, enterprise VPN, SharePoint, ASP.NET/NTLM | | Red‑team taktike ★ | 4 | redteam‑mindset, APK pipeline, supply‑chain recon, mid‑engagement IR | | Reconnaissance in OSINT | 4 | web2‑recon, offensive‑osint, subdomain | | Delovni tok, poročanje in specializacije | 11 | metodologija, triage‑validation, evidence‑hygiene, VRT‑aware reporting | Celoten katalog po iskanju → docs/skills.md. Prav tako vključuje 15 ukazov po slash (/hunt, /recon, /report, …) in deterministični motornik za sodelovanje (engine/) ki kartezuje napadalno površino cilja in usmerja vsako ugotovitev na ustrezno veščino.

Asked by Dumisani Ndlovu · Feb 13, 2026

Kaj je to?

claude-bughunter je paket dodatkov, ki se enostavno vgradi v sistem Claude Code skills. Ko ga enkrat namestite, Claude Code ne postane več le klepetalnik, ampak se obnaša kot izkušen raziskovalec popravkov napak ali operater rdečega tima: pozna tehnike, verižne predloge, VRT preslikave, verižne napake CVE platform, ter higiensko ravnanje – in ostane znotraj obsega. Stabljeni so štirje sloji: Think – bb‑metodologija + rdeče timsko razmišljanje: 5‑fazni nelinearni delovni tok, okvir kritičnega mišljenja in disciplina operaterja rdečega tima. Hunt webapps – 48 lovnih spretnosti, kurirane iz 681 objavljenih poročil HackerOne: vzorci odkrivanja po razredih, nosilci, tabele za obhajanje in verižne predloge. Hit the perimeter – verižne napake platform podjetij (M365/Entra, Okta, vCenter, SSL‑VPN napravke, SharePoint, cloud IAM): trenutno 2024–2026 verižne napake CVE + eskalacija po pooblaščitvi. Ship it – triage‑validacija + poročanje + higiena dokazov: 7‑vprašanje prehod, VRT‑zavednost resnosti, OOS izpovedi, PII redakcija in dostave rdečega tima. Vse se sproži samodejno po tematičnih zahtevah – opisujte, kar testirate v preprostem angleščini in ustrezne naloge spretnosti. Ni potrebe po klicu po imenu.

Asked by Mireille Dupont · Jan 18, 2026