Bug bounty с ИИ-копилотом: цикл работы

Bug bounty это оплачиваемое тестирование в границах, которые задаёт программа. Эта серия ведёт вас от нуля до первого валидного отчёта: модель ИИ читает и набрасывает черновики, а решения и всё, что доходит до цели, остаются за вами. Первый пост описывает цикл, который вы повторяете на каждой программе. Остальные посты разбирают каждый этап подробно, а в конце собирают небольшой агент, который проходит часть цикла за вас.

Модель это быстрый читатель и неплохой автор, без памяти о вашем скоупе и без интереса к вашему аккаунту. Она резюмирует политику, сортирует список endpoints, объясняет странный response и набрасывает отчёт. Она же выдумает endpoint, неправильно прочитает статус-код и прозвучит при этом уверенно. Вывод модели вы считаете зацепкой, а не находкой.

#Цикл

Работа идёт циклом из пяти этапов. Вы проходите его один раз на программе, потом ещё раз на следующем активе, потом ещё раз на следующем классе багов. Модель помогает на каждом этапе. Она не решает, что входит в скоуп, и не отправляет request к цели вместо вас.

Этап	Что делаете вы	Где помогает модель
Выбор	Выбрать программу и актив	Резюмировать политику, отметить странные пункты
Скоуп	Прочитать, что внутри и что снаружи	Превратить длинную политику в короткий чек-лист
Recon	Разметить поверхность, которую можно трогать	Сортировать endpoints, читать JS, предлагать параметры
Тест	Отправлять requests и читать responses	Объяснить response, предложить следующий случай
Отчёт	Написать текст	Набросать шаги, пока вы проверяете каждую строку

#Выбор программы и чтение скоупа

Программа это публичное предложение тестировать названные активы по названным правилам. Прежде всего вы читаете политику целиком: домены и приложения в скоупе, те, что вне его, классы, за которые не платят, и ограничения на частоту запросов и автоматизацию. Вставьте политику в чат и попросите модель перечислить хосты в скоупе, хосты вне скоупа и любое правило, из-за которого отчёт закроют. Потом прочитайте политику сами, потому что неверное резюме здесь это та ошибка, что закрывает аккаунт. Выбор первой программы подробно разбирает, как читать скоуп.

#Recon без обращения к хостам вне скоупа

Recon размечает поверхность, которую программа разрешает тестировать. Вы собираете поддомены, endpoints и параметры, потом решаете, где баг вероятен. Модель полезна для чтения, а не для обращения наружу: она группирует неряшливый список endpoints, читает минифицированный бандл JavaScript и указывает на параметры, которые стоит проверить. Держите каждый scan и request на хостах, которые перечислены в скоупе. По инструментам пост про toolkit собирает терминал, который удерживает вас внутри скоупа.

#Тест, потом проверка, и только потом вера

Тестирование это место, где новички теряют время на ложные срабатывания. Модель скажет, что response похож на IDOR или на XSS. Иногда она права. Вы подтверждаете руками: воспроизведите request, измените одну вещь, посмотрите на response и сохраните точные request и response, которые это доказывают. Баг, который вы не можете воспроизвести по требованию, пока не баг. Тестирование частых веб-багов с помощью ИИ проходит по IDOR, XSS, SSRF и сломанной аутентификации, в том числе по тому, как избегать ложных срабатываний, которые подсовывает модель.

#Напишите отчёт

Отчёт должен позволить постороннему воспроизвести баг и понять последствия. Модель хорошо набрасывает по вашим заметкам: дайте ей request, response и эффект, и она выдаст чистый текст. Потом вы проверяете каждый шаг, каждый URL и каждое утверждение о последствиях, потому что triager будет проверять. Отчёты, за которые платят содержат структуру и чек-лист для ревью.

#В чём модель хороша и где она врёт

Модели читают быстро, переводят жаргон и держат уставший мозг в движении в два часа ночи. Они же галлюцинируют endpoints, завышают severity, чтобы звучать полезно, и путают похожие CVE. OWASP Top 10 для приложений с LLM каталогизирует эти режимы отказа. Правило, которое вас бережёт, простое: модель предлагает, решаете вы. Ничего из написанного ею не доходит до программы, пока вы это не воспроизвели.

#Дальше в этой серии

Прочитайте как выбрать первую программу, потом соберите toolkit и терминал. Сценарий использования bug bounty и OWASP Web Security Testing Guide это две ссылки, которые стоит держать открытыми всё время. Следующие посты собирают hackbot, который проходит recon и тесты на вашей машине, под вашим подтверждением, с помощью NotHoly CLI.