Запустить ИИ-агента на багбаунти — дело пяти минут. Зато превратить его поток сознания в принятые отчеты, чтобы не словить бан за спам и минус в рейтинге, — задача со звездочкой.

Привет, Хабр! Меня зовут Владислав, я работаю в отделе реагирования на инциденты в Бастионе и около полутора лет активно ханчу на багбаунти. Под Новый год мы с другом так пробили ИБ-интегратора (он, кстати, остался доволен), а недавно я выиграл Bug Zone 7.0. Подобные активности — хорошая возможность поэкспериментировать и выработать новые подходы, и последние полгода я ищу баги при помощи LLM. Так что с ИИ можно добиваться хороших результатов, а не сдавать мусор. Но как это делать? 

Под катом вас ждут: 

• четыре подхода к ИИ-багхантингу; 

• четыре способа платить за модель; 

• три слоя верификации;

• пайплайн из двух агентов; 

• живой разбор blind SSRF. 

Спойлер: готовой кнопки «сделать хорошо» не ждите. 

Статья будет интересна всем, кто уже натравливал ИИ на BB-программу и тонул в фолз-позитивах, а также новичкам и матерым этичным хакерам — хотя последним отдельные рекомендации наверняка покажутся очевидными.

Хотя нет - я соврал, о Коте вы узнаете из аниме сериала. Но это последний обман:)

А что такое этот ваш CyberCamp?

CyberCamp 2025 - ежегодная онлайн-конференция по кибербезопасности от компании Инфосистемы Джет.

О кемпе:

CyberCamp — это проект по обмену практическим опытом в сфере кибербезопасности. Мы создали новый формат онлайн-мероприятий: участвовать в киберучениях и проходить задания могут не только команды, но и все зрители кэмпа.
Доклады и практические задания для CyberCamp готовят участники комьюнити — пентестеры, форензеры, инженеры и архитекторы ИБ, аналитики SOC. Задания основаны на кейсах из повседневной работы Blue team, Red team и Yellow team.
Каждый год в рамках CyberCamp проводится онлайн-конференция федерального масштаба и цикл митапов для начинающих и опытных специалистов. Мы создаем среду для повышения экспертизы в ИБ и развиваем комьюнити, в котором можно поделиться знаниями и найти поддержку.

Недавно вышел пост от Алексея Лукацкого, где затронул тему того как можно в нынешних условиях развиваться в сфере ИБ. Во многом я с ним согласен, но есть некоторые моменты которые я бы хотел подправить или раскрыть чуть сильнее. Важно понимать что разница между нам в том, что Алексей как он сам сказал окончил вуз 30 лет назад, долгое время работает и хоть и находится долгое время на острие профессии, но все же в моментах может быть далек о того пути что должен пройти студент по специальности иб до практикующего специалиста.

Это все лирика.

Часто спрашивают, с чего начать в информационной безопасности. Отвечу сразу: пройдя путь от студента до практикующего специалиста, я не могу дать однозначного ответа. И это хорошая новость!

Так уж вышло, что я сел писать статью о нашем с Саней (@MrKaban4ik) приключении в багбаунти. Сразу предупреждаю: бывалым исследователям наша история покажется не самой захватывающей. Она не о сложных цепных эксплойтах, а о самом начале пути — о том, как ты делаешь первый шаг на площадке и, затаив дыхание, ждешь вердикта по своему первому отчету. Именно эти первые «хваты» вселяют ту самую уверенность, что ты на правильном пути.

{Багбаунти-кидди презенс}

Чуть предыстории. НЕБОЛЬШАЯ ИСТОРИЧЕСКАЯ СПРАВКА НА 5 МИНУТ. Февраль 2025 года.

Мы с Александром часто участвуем в CTF в рамках студенческой команды Capybaras. Недавно закончился Чемпионат России по спорт проге ИБ, мы написали квалы на чемпионат банка РФ и нас зовут в Екатеринбург на Уральский форум. Вуз платит — едем. К этому моменту мы знаем о вебе что он существует и что если нет никаких ограничений на загрузку можно загрузить файлик.php который может быть шелом и как то магически команды на OS исполняет. О багбаунти мы слышали, но не седели особо — потому что просто не знаешь что искать. Мы с Александром собираем вещи, едим в Сочи и оттуда летим в Екатиб. Хотя давайте меньше деталей, вы же тут не до вечера собрались читать. В общем‑то первый наш форум по ИБ, много вендоров и лекций в молодежной программе. Знакомлюсь с ДВФУ‑шниками, до сих пор {heart}. Но вернемся к форуму. Среди вендоров был и BI.ZONE. Интерес конечно же у меня к нему был потому что они недавно выпускают Threat Zone и как только открылась выставка, а у нас шла кибербитва — я решаю незаметно сбежать и сходить залутать заветный журнальчик. Подхожу к стенду, решаю потыкать стендик и подходит какой‑то тип в черном костюме и начинает спрашивать знаком ли я с продуктами компании, я жестко говорю что знаю EDR и какой то прикол с жуками, называемый bugbounty. А этот тип говорит: «Я глава этого продукта». Таким образом мы познакомились с человеком по имени Андрей Левкин — который сыграет на самом деле большую роль в том, чтоб мы начали багхантить. Форум заканчивается и мы едем домой.