Как Xbow смог обойти человеческих хакеров и занять первое место в рейтинге HackerOne

Стартап Xbow, основанный в январе 2024 года Оэге де Муром, бывшим руководителем GitHub Copilot, смог обойти человеческих хакеров и занять первое место в рейтинге HackerOne в США благодаря своей инновационной AI-платформе для автономного тестирования на проникновение.

Вот ключевые факторы, которые обеспечили этот успех:

Технологические преимущества Xbow

Скорость и масштабируемость: Xbow способен проводить комплексные тесты на проникновение за считанные часы, в то время как традиционные методы с участием человека занимают недели и стоят в среднем $18,000 за систему. Например, в одном из тестов Xbow выполнил работу, эквивалентную 40 часам труда опытного пентестера с 20-летним стажем, всего за 28 минут.

Автономность и адаптивность: Платформа работает без человеческого вмешательства, автоматически обнаруживая и эксплуатируя уязвимости. В отличие от традиционных инструментов, зависящих от статических баз данных, Xbow постоянно обучается и адаптируется, выявляя даже новые, ранее неизвестные уязвимости, анализируя поведение приложений на конкретные входные данные.

Точность и валидация: Одной из проблем автоматизации является большое количество ложных срабатываний, но Xbow решает это с помощью системы валидаторов — автоматизированных проверок, подтверждающих каждую найденную уязвимость. Например, для проверки XSS-уязвимостей используется headless-браузер, который подтверждает выполнение вредоносного JavaScript-кода.

Результаты в реальных условиях

Xbow тестировался в публичных и частных программах bug bounty на HackerOne, где он выявил тысячи подтверждённых уязвимостей, включая такие серьёзные, как удалённое выполнение кода, SQL-инъекции, XSS, SSRF и раскрытие конфиденциальной информации. За период с апреля по июнь 2025 года Xbow подал около 1060 отчётов об уязвимостях, из которых 130 были устранены, а 303 помечены как “Triaged”. Это позволило ему достичь первого места в американском рейтинге HackerOne по репутации, что стало историческим событием — впервые машина обошла всех человеческих хакеров в этой категории.

Стратегия и подход

Xbow изначально не ставил целью лидерство в рейтинге, но участие в реальных программах bug bounty стало важным этапом для оценки эффективности платформы. Компания использовала строгие бенчмарки для измерения прогресса, а также применяла подход “dogfooding”, тестируя инструмент в условиях, максимально приближенных к реальным, без каких-либо привилегий или внутренней информации. Это позволило Xbow справляться с разнообразием систем — от современных технологий до устаревших решений возрастом 30 лет.

Таким образом, сочетание скорости, автономности, точности и способности адаптироваться к сложным реальным средам позволило Xbow превзойти человеческих хакеров и занять лидирующую позицию в рейтинге HackerOne в США.

#ai
#claude

Claude в подвале: ломаем Anthropic через псевдо-SQL и LaTeX

Сразу бросилось в глаза, что Claude не особо фильтрует псевдо-код и специфические форматы данных, типа LaTeX или SQL-подобных строк. Особенно если закинуть что-то, что выглядит как «безопасный» технический запрос, но с подвохом. Модель пытается интерпретировать это как «часть задачи», а не как инъекцию. Плюс, слабая обработка Unicode и многоуровневых контекстов — прям лазейка для обхода. Вижу, что их токенизация спотыкается на длинных вложенных структурах, а это значит, что можно перегрузить контекст и заставить модель выдать то, что она не должна. Ну и, конечно, LaTeX — их ахиллесова пята, потому что парсинг формул часто ломается, и модель начинает «думать», что это часть ответа.

Подробнее: https://timneuro.ru/claude-v-podvale-lomaem-anthropic-cherez-psevdo-sql-i-latex/

Другие наши проекты:

https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/

👨‍💻 https://vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 https://vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 https://vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 https://vk.com/timcore_games - Разработка игр.
🕵️‍♂️ https://vk.com/forensics_timcore - Услуги кибердетектива.
💰 https://vk.com/project_financing - Инвестиции (проектное финансирование).

Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore

Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.

#ai
#chat_gpt

Шпаргалка по ChatGPT

#ai

120 полезных нейросетей

#bug_bounty
#bug_hunting
#rce

Unsafe Deserialization в Java: Когда твой объект — это RCE на блюде

Что вижу: Java-приложение, которое хавает сериализованные данные через ObjectInputStream.readObject(). Это как открытая дверь в подвале с табличкой «Входи, хакер, чай с RCE готов».

Как поймал: Сканю приложение через Burp Suite, вижу подозрительный эндпоинт /deserialize или куки с Base64-данными. Декомпилирую APK или JAR через jadx или JD-GUI — бац, там readObject() без фильтров. Сразу лезу в документацию: если есть Apache Commons Collections или старый Spring, я уже в предвкушении.

Подробнее: https://timcourse.ru/unsafe-deserialization-v-java-kogda-tvoj-obekt-eto-rce-na-blyude/

Другие наши проекты:

https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/

👨‍💻 https://vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 https://vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 https://vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 https://vk.com/timcore_games - Разработка игр.
🕵️‍♂️ https://vk.com/forensics_timcore - Услуги кибердетектива.
💰 https://vk.com/project_financing - Инвестиции (проектное финансирование).

Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore

Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.

#bug_bounty
#bug_hunting
#jwt

Подмена JWT alg: Когда твой токен — это открытая дверь в админку

Что вижу: JWT (JSON Web Token) в куках или заголовках типа Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.... Вижу, что алгоритм подписи (alg) — это HS256 или что-то такое, что можно подменить. Это как замок на двери, но ключ от него лежит под ковриком с надписью «Взломай меня».

Как поймал: Перехватываю запрос через Burp Suite, декодирую токен на jwt io или через jwt_tool. Сразу вижу, что alg не зафиксирован на сервере, а проверка подписи — чисто формальность. Лезу в доки библиотеки (если это Node js с jsonwebtoken или Python с PyJWT старой версии), ищу, как обойти валидацию.

Подробнее: https://timcourse.ru/podmena-jwt-alg-kogda-tvoj-token-eto-otkrytaya-dver-v-adminku/

Другие наши проекты:

https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/

👨‍💻 https://vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 https://vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 https://vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 https://vk.com/timcore_games - Разработка игр.
🕵️‍♂️ https://vk.com/forensics_timcore - Услуги кибердетектива.
💰 https://vk.com/project_financing - Инвестиции (проектное финансирование).

Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore

Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.

#ai

100+ нейросетей, которые стоит освоить

#forensics

Виртуальные машины: как создать цифровой бункер и не оставить следов

Окей, новичок, пристегни ремни: сегодня у нас операционная тема — виртуальные машины (ВМ), твой собственный цифровой бункер в мире, где даже микроволновка косит под ЦРУ. Тема — как создать виртуалку, чтобы и тренироваться на кошках (в образовательных целях, естественно, мы же не отбитые), и свои данные защитить, а главное — не оставить за собой цифровых следов, как сапер, который не хочет оставлять сапоги на минном поле.

Предупреждение для слишком самостоятельных: здесь — инструкция, не руководство к преступлению. Нарушите закон — в вашем бункере уже будет сидеть следователь. Не повторяйте это дома… ну, или повторяйте, но на свой страх и риск.

Подробнее: https://timforensics.ru/virtualnye-mashiny-kak-sozdat-czifrovoj-bunker-i-ne-ostavit-sledov/

Другие наши проекты:

https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/

👨‍💻 https://vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 https://vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 https://vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 https://vk.com/timcore_games - Разработка игр.
🕵️‍♂️ https://vk.com/forensics_timcore - Услуги кибердетектива.
💰 https://vk.com/project_financing - Инвестиции (проектное финансирование).

Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore

Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.

#forensics

Удалённый доступ: как тебя могут взломать через твой же роутер

Ты думаешь, что домашний Wi-Fi — это просто “интернет везде” и уютный Netflix на диване? Поздравляю: ты только что выдал ключ от своей хаты кому угодно с ноутбуком и временем. Разберём, почему твой роутер — это ходячая дыра в твою приватность, и как любой «любознательный» сосед может превратить твои файлы в свой личный архив.

Подробнее: https://timforensics.ru/udalyonnyj-dostup-kak-tebya-mogut-vzlomat-cherez-tvoj-zhe-router/

Другие наши проекты:

https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/

👨‍💻 https://vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 https://vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 https://vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 https://vk.com/timcore_games - Разработка игр.
🕵️‍♂️ https://vk.com/forensics_timcore - Услуги кибердетектива.
💰 https://vk.com/project_financing - Инвестиции (проектное финансирование).

Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore

Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.

Здравствуйте, дорогие друзья!

Скоро выйдет моя новая книга по хакингу ИИ, которая называется: "НейроХак: Ломая мозги ИИ"

Сейчас есть возможность оформить предзаказ.
Цена: 900 рублей.

Добро пожаловать в подземелье киберпанка, где живут не техно-оптимисты, а настоящие нейрохакеры.

"НейроХак: Ломая мозги ИИ" — это твой билет в таинственный мир пентеста искусственного интеллекта: только мясо, только реальные кейсы, только рабочие эксплойты на 2025 год и дальше.

Забудь про скучные туториалы и белые перчатки — эта книга для тех, кто хочет рвать фильтры, обходить цензуру, вытаскивать данные из глубин ИИ и сжигать GPU нахрен.

Внутри:

- Все рабочие схемы prompt-инъекций, Unicode-спойлинга, многоэтажных кавычек и новых API-эксплойтов.
- Джейлбрейки, от которых трещит даже GPT пятого поколения.
- Атаки на токены, переполнение контекста и хаки на мультимодальные нейросети.
- Реальные кейсы из даркнета: от слива ключей до взлома ИИ в медицине и умных устройствах.
- Эксклюзивные скрипты и фреймворки для автолома новейших моделей.

Хватит играть по правилам.
Хватит ждать апдейтов защиты.
Ломай мозги ИИ первым.

Всё, что ты знал о пентесте — уже устарело.
Присоединяйся к движу.

И помни: ИИ — твой новый шелл. Как использовать — решать тебе.

Содержание: https://vk.com/hacker_timcore?w=wall-44038255_10704

Для оформления предзаказа, пишите по контакту в телеграм: @timcore1

#pentest
#labs

Собираем свою лабораторию для пентеста: Vagrant + Docker + Metasploit. Конфиги и уязвимые приложения

Эй, хакеры и пентестеры! Хотите создать свою личную песочницу для отработки навыков взлома, не боясь сломать что-то важное или попасть под прицел админов? Сегодня мы с вами соберем крутую лабораторию для пентеста, используя Vagrant для виртуализации, Docker для контейнеров и Metasploit как основное оружие. А еще настроим зеркала уязвимых приложений, таких как OWASP Juice Shop и DVWA, чтобы было на чем оттачивать скиллы. Всё будет изолировано, безопасно и готово к бою. Погнали!

Подробнее: https://timrobot.ru/sobiraem-svoyu-laboratoriyu-dlya-pentesta-vagrant-docker-metasploit-konfigi-i-uyazvimye-prilozheniya/

Другие наши проекты:

https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/

👨‍💻 https://vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 https://vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 https://vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 https://vk.com/timcore_games - Разработка игр.
🕵️‍♂️ https://vk.com/forensics_timcore - Услуги кибердетектива.
💰 https://vk.com/project_financing - Инвестиции (проектное финансирование).

Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore

Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.

#graphql
#api
#python

GraphQL-инъекции: как ломать современные API

Привет, хакеры и разработчики! Сегодня мы с вами погрузимся в мир GraphQL — мощного и современного инструмента для работы с API, который, как и всё в IT, может стать слабым звеном, если его неправильно настроить. Мы разберём, что такое GraphQL-инъекции, как искать уязвимости через интроспекцию, обходить авторизацию и устраивать хаос с переполнением запросов. А главное — я дам вам готовый Python-скрипт для автоматизации процесса. Погнали!

Подробнее: https://timrobot.ru/graphql-inekczii-kak-lomat-sovremennye-api/

Другие наши проекты:

https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/

👨‍💻 https://vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 https://vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 https://vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 https://vk.com/timcore_games - Разработка игр.
🕵️‍♂️ https://vk.com/forensics_timcore - Услуги кибердетектива.
💰 https://vk.com/project_financing - Инвестиции (проектное финансирование).

Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore

Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.

#blog
#books

Интересную книгу нашел на платформе: Яндекс.Книги.

Кому любопытно ознакомиться, вот ссылка:
https://books.yandex.ru/books/D3plcL0B

#bug_bounty
#bug_hunting
#script

[Мои разработки] HeaderWrecker — Инструмент для фаззинга HTTP-заголовков

Описание

HeaderWrecker — это специализированный инструмент для багхантеров, предназначенный для тестирования безопасности веб-приложений через фаззинг HTTP-заголовков. Инструмент помогает обнаруживать уязвимости типа Host Header Injection, обходить WAF (Web Application Firewall) и находить миссконфигурации серверов.

Основные возможности

🔥 Генерация и фаззинг заголовков
Автоматическая генерация комбинаций HTTP-заголовков
Рандомизация значений с добавлением случайных символов, пробелов и URL-кодировки
Встроенный словарь заголовков на основе известных уязвимостей
Поддержка кастомных словарей через файлы .txt или .json

Мультипоточность
Параллельная обработка запросов для ускорения фаззинг
Настраиваемое количество потоков (по умолчанию 5)
Контроль нагрузки с задержками между запросами


Режимы работы
Обычный режим: тестирование одного заголовка за раз
Глубокий режим (--deep): комбинирование нескольких заголовков в одном запросе
Гибкая настройка через аргументы командной строки

📊 Анализ и логирование
Детальное логирование всех запросов и ответов в wrecker_log.txt
Фильтрация подозрительных ответов (коды 200, 302 вместо ожидаемых 403)
Обнаружение WAF по кодам ответа 403

Вывод в реальном времени подозрительной активности

Поддерживаемые заголовки

Встроенный словарь включает:
Host — для Host Header Injection атак
X-Forwarded-For — подмена IP-адреса
X-Original-IP — альтернативная подмена IP
X-Forwarded-Host — подмена хоста
X-Forwarded-Scheme — подмена схемы протокола
Тестовые значения:
Локальные адреса: 127.0.0.1, localhost, [::1]
Вредоносные домены: evil.com
Path traversal: ../../etc/passwd
Альтернативные схемы: file://, gopher://, ftp://


Применение в багбаунти

Типичные сценарии:

Host Header Injection — поиск уязвимостей в обработке заголовка Host
WAF Bypass — обход защитных механизмов через подмену заголовков
SSRF Detection — обнаружение Server-Side Request Forgery
Access Control Testing — тестирование контроля доступа через IP-заголовки

Целевые уязвимости:

CVE-2018-XXXX (Host Header Injection)
WAF обходы через заголовки
Миссконфигурации прокси-серверов
Утечки внутренней информации
Безопасность и этика

#bug_bounty
#bug_hunting

Cloud Metadata Leakage: Когда облака текут как твой кран на кухне

Ты думал, что облако — это безопасно? Хаха, это как оставить ключ от квартиры под ковриком с надписью «не бери». Cloud Metadata — это служебная инфа, которую AWS, Azure, GCP и прочие гиганты хранят для своих инстансов. Там лежат токены, ключи, IAM-роли, да хоть пароль от Wi-Fi админа, если повезёт. И всё это доступно через эндпоинты типа 169.254.169.254 или /latest/meta-data/. Проблема? Если ты криво настроил сетку или твой код лоханулся, любой, кто добрался до твоей тачки, может слить это добро.

Подробнее: https://timcourse.ru/cloud-metadata-leakage-kogda-oblaka-tekut-kak-tvoj-kran-na-kuhne/

Другие наши проекты:

https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/

👨‍💻 https://vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 https://vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 https://vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 https://vk.com/timcore_games - Разработка игр.
🕵️‍♂️ https://vk.com/forensics_timcore - Услуги кибердетектива.
💰 https://vk.com/project_financing - Инвестиции (проектное финансирование).

Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore

Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.

#bug_bounty
#bug_hunting

Path Traversal в Upload: Когда твой сервер — это решето

Ты думал, что загрузка файлов на сайте — это безопасно? Хаха, это как оставить дверь открытой с надписью «входи, бери всё». Path Traversal (он же Directory Traversal) в функционале загрузки файлов — это уязвимость, которая позволяет атакующему выйти за пределы назначенной директории и закинуть свой шлак куда угодно: в /etc/passwd, в корень веб-сервера или прям в системные папки. Последствия? От утечки конфигов до RCE, если твой файл — это веб-шелл. Проблема в том, что большинство разработчиков проверяют только расширение файла, а не путь, куда он лезет. Ну что, готов стать кошмаром для админа?

Подробнее: https://timcourse.ru/path-traversal-v-upload-kogda-tvoj-server-eto-resheto/

Другие наши проекты:

https://timcore.ru/
https://timcourse.ru/
https://timforensics.ru/
https://tarasovinvest.ru/
https://mikhailtarasovcom.ru/
https://timrobot.ru/
https://timneuro.ru/

👨‍💻 https://vk.com/hacker_timcore - Образование для хакеров Junior, Middle.
🏫 https://vk.com/school_timcore - Школа этичного хакинга Timcore.
🤖 https://vk.com/programmer_timcore - Разработка роботов под заказ, готовые скрипты.
🎮 https://vk.com/timcore_games - Разработка игр.
🕵️‍♂️ https://vk.com/forensics_timcore - Услуги кибердетектива.
💰 https://vk.com/project_financing - Инвестиции (проектное финансирование).

Телеграм-каналы:
https://t.me/timcore_hacking
https://t.me/school_timcore
https://t.me/programmer_timcore

Будем рады видеть Вас в числе наших посетителей и подписчиков в представленных сайтах и пабликах вк.