Shannon: an autonomous, AI pentester for web applications and APIs (50k stars)
What it does
All text below is quoted directly from the project README.
>Shannon is an AI pentester for web applications and APIs. It analyzes your source code, identifies attack vectors, and executes real exploits to prove vulnerabilities before they reach production.
Key Capabilities:
- No exploit, no report: Reports only vulnerabilities confirmed with a reproducible proof of concept, reducing speculative scanner noise.
- Advanced code analysis: Maps architecture, trust boundaries, interfaces, data flows, and critical assets before sending credible attack paths to live pentesting agents.
- Autonomous execution: Runs reconnaissance, analysis, exploitation, and reporting from a single command.
- Authenticated testing: Supports credentials, login flows, TOTP, email authentication, focus areas, and rules of engagement through configuration.
- OWASP-focused coverage: Tests for exploitable injection, XSS, SSRF, broken authentication, and broken authorization.
- Native CI/CD integrations: Runs through the official GitHub Action or GitLab CI/CD component, preserves artifacts, publishes findings, and gates releases on proven vulnerabilities.
- Provider agnostic and BYOK: Supports Anthropic, OpenAI, xAI, AWS Bedrock, compatible APIs and LLM gateways, and local models served through Ollama, vLLM, or LM Studio.
- Private by design: Runs in your infrastructure, stores results locally, and sends model requests directly to your chosen endpoint. A local endpoint keeps data inside your environment.
>npx @keygraph/shannon@latest
Repository
KeygraphHQ/shannon
Repository stats
|Metric|Value|
|:-|:-|
|Stars|50,250|
|Forks|5.8k|
|Last release|v3.5.0 (2026-10-27)|
|Languages|TypeScript 95.2%, Handlebars 3.8%, Other 1%|
|Contributors|8|
|AI contributor accounts (Claude / Codex / Cursor / Copilot)|@claude (43 commits)|
|AI co-authored commits|Claude: 43|
Main contributor
|Field|Value|
|:-|:-|
|GitHub|@ezl-keygraph|
|Commits to this repo|101 (top contributor)|
|Company / Location|Keygraph / India|
|Followers|63|
──────────────────────────────
📌 How many great GitHub repos have you discovered and completely forgotten about?
Don't let another useful tool disappear into your Reddit feed. Get the community's best repos, organized by category, plus key takeaways from real developer discussions, delivered to your inbox twice a week.
📬 Never lose track of great repos again. Subscribe free.
7 points
自律型AIペネトレーションテスターShannonを自分のPCで動かそうとして、深いところで2回連続つまずいた話
今日のネタ元
GitHub Trending(TypeScript)に挙がっていた以下のOSSを検証した。
KeygraphHQ/shannon(Shannon Lite、AGPL-3.0)
Webアプリ/APIのソースコードを解析して攻撃経路を特定し、ブラウザ自動操作とCLIツールで実際に攻撃を再現した上で、動作するPoCが取れた脆弱性のみを報告する自律型AIペネトレーションテストツールである。
READMEの冒頭には「Shannon actively executes exploits. Run it only against applications and environments you own or have explicit written authorization to test.」(所有している、または明示的な許可を得た環境にのみ実行すること)と明記されている。
今回の検証は、この注意書きに従い、自分でローカルに立てたOWASP Juice Shop(意図的に脆弱なデモアプリ)のみを対象にした。
第三者が運用するサイト・サービスには一切向けていない。
ライセンスはAGPL-3.0で、リポジトリ直下にLICENSEとして全文が収録されていることを確認した。
つまずきの連続だった、という結論を先に書く
結論から書くと、今回はShannonが実際に脆弱性を検出・PoCを取るところまでは到達できなかった。
代わりに、環境構築からツール本体のバグまで、複数のつまずきを具体的に踏み抜くことになった。
一つ一つは小さいが、同じ環境でShannonを試そうとする人なら高い確率で遭遇するはずなので、失敗の経緯をそのまま記録する。
つまずき1: localhostではなくhost.docker.internalが必要
Shannon自体がDockerコンテナの中で動く設計になっている。
筆者は最初、ローカルで起動したJuice Shopに対して以下のように実行した。
docker run -d --rm --name juice-shop -p 3000:3000 bkimminich/juice-shop
npx @keygraph/shannon@latest start -u localhost -r ./juice-shop
結果、スキャンが開始する前に失敗した。
▲ The scan could not start
The target could not be reached.
Reference code: InvalidTargetError
コンテナの中から見たlocalhostはコンテナ自身を指すため、ホスト上で動いているJuice Shopにはそもそも到達できない。
Shannon公式のdocs/platforms.mdには「Docker containers cannot reach localhost on your host machine. Use host.docker.internal」と明記されており、ターゲットURLをhttp://host.docker.internal:3000に変えたところ解決した。
これはドキュメントを先に読んでいれば防げた失敗である。
つまずき2: WSL2のsnap版Dockerでは起動すらできなかった
次に、WSL2上のsnap版Docker(Docker version 29.0.1)でstartコマンドを実行したところ、2回とも同一のエラーで失敗した。
docker: Error response from daemon: failed to create task for container: failed to create shim task:
OCI runtime create failed: runc create failed: unable to start container process: error during container init:
error mounting ".../.shannon/.playwright" to rootfs at "/repos/juice-shop/.playwright":
create mountpoint for /repos/juice-shop/.playwright mount: make mountpoint "/repos/juice-shop/.playwright":
mkdirat .../rootfs/overlayfs/.../repos/juice-shop/.playwright: read-only file system
Shannonは対象リポジトリを読み取り専用でコンテナにマウントし、その内部のサブパス(.playwright、ブラウザ操作キャッシュ用)にさらに別のマウントを重ねようとしている。
read-onlyなマウントの内側に新しいマウントポイントを作成できないというDocker/runcの制約と衝突していると考えられる。
Shannonの過去issueに完全一致する報告は見つからなかったが、近い性質の既知issue(#490)があり、「リポジトリをread-onlyでマウントした上で、その内部に書き込む・マウントを重ねる」という設計自体に起因する問題と考えている。
Shannon公式はWindows環境では「Docker Desktop + WSL2バックエンド」を推奨している。
実際にDocker Desktopへ切り替えたところ、この問題は再発しなくなった。
WSL2のsnap版Docker単体では、少なくとも今回のバージョンの組み合わせでShannonを動かせなかった。
つまずき3: pre-reconは完璧に成功したのに、reconの最後で2回落ちた
Docker Desktopに切り替え、Anthropic(claude-sonnet-5)を使ってようやくスキャンが走り出した。
最初のフェーズ「pre-recon」は12分30秒・$4.93で完全に成功し、Juice Shopのアーキテクチャ・認証機構・XSS/SSRFの危険な箇所などを詳細にまとめた分析結果が生成された。
筆者が手で読んでも的確な内容で、ここまでは非常に期待が持てる結果だった。
ところが続く「recon」フェーズが、ブラウザ探索(playwright-cli)を使い始めた直後(3ターン・8.2秒)に、以下のエラーで落ちた。
[recon] [ERROR] AGENT_EXECUTION_FAILED (unknown, attempt 1, 8.2s, 3 turns)
Scan FAILED
Error: The agent could not complete its work.
Shannonには-w <workspace名>で中断したスキャンを完了済みフェーズをスキップして再開できるresume機能があり(docs/workspaces.md)、これを使って同じworkspaceで再実行した。
npx @keygraph/shannon@latest start -u host.docker.internal -r ./juice-shop \
-w host-docker-internal_shannon-1793365664702
今度はpre-reconが正しくスキップされ、reconフェーズは18分1秒・32ターンをかけてネットワークマップ・ロール構造・権限昇格の候補箇所まで深く分析を終えた。
しかし、最後の成果物発行ツール呼び出し(set_injection_sources)で、再び同一のエラーコード(AGENT_EXECUTION_FAILED)で失敗した。
{"agent":"pi-executor","error":{"code":"AGENT_EXECUTION_FAILED",
"message":"The agent could not complete its work."},
"duration":1081586,"turns":32,
"provider":{"provider":"anthropic","model":"claude-sonnet-5","stopReason":"error",
"toolCallsInFlight":["set_injection_sources"]}}
2回ともreconフェーズの終盤でAnthropic API自体がstopReason: errorを返している。
Shannonの過去issue(#428、親エージェントが子タスクセッション終了後に失敗する既知のリソースライフサイクルバグ)と症状の雰囲気は近いが、そちらはv2.5.2で修正済みとされており、エラーメッセージの文面も異なる。
今回使った最新版(v3.5.0)にも、reconフェーズ終盤に限って再現する何らかのバグが残っていると考えられる。
ここまでで実際に課金された金額は、pre-recon $4.93 + recon失敗2回分の合計$6.11で、$11.04だった。
実際の脆弱性検証・エクスプロイトフェーズ(injection-vuln以降)には一度も到達できなかった。
つまずき4: 無料のOllamaに切り替えたら、今度は別の形で全滅した
Anthropic APIのクレジット残量が少なくなってきたため、Shannonが公式にサポートしているOllama連携(docs/ai-providers.md)に切り替えることにした。
{
"providers": {
"ollama": {
"baseUrl": "host.docker.internal",
"api": "openai-completions",
"apiKey": "ollama",
"models": [{ "id": "qwen2.5:14b-instruct" }]
}
}
}
まずqwen2.5:14b-instructを指定したところ、起動直後(273ミリ秒、0エージェント実行、$0)でAgentExecutionErrorになった。
原因を調べると、Docker Desktopのコンテナから見たhost.docker.internal:11434は、筆者がモデルを入れていたWSL2側のOllamaではなく、別途インストールされていたWindowsネイティブ版Ollamaを指していた。
こちらにはqwen2.5:14b-instructが入っておらず、より小さいqwen2.5:7bしかなかった。
これはWSL2とDocker Desktopのネットワーキングの違いによるもので、Shannon自体の問題ではない。
モデルを実際に到達可能なqwen2.5:7bに変えて再実行したところ、pre-recon・reconの両フェーズは数秒・$0.0000で「完了」した(Anthropic版が12分・$4.93かけていたことを考えると、明らかに浅い処理になっていたと考えられる)。
しかし続く実際の脆弱性検証エージェント5種(XSS・Injection・Authentication・Authorization・SSRF)が、全てOUTPUT_VALIDATION_FAILEDで失敗した。
[AGENT] authz-vuln: Failed (OUTPUT_VALIDATION_FAILED) (12.1s, $0.0000)
[AGENT] xss-vuln: Failed (OUTPUT_VALIDATION_FAILED) (11.6s, $0.0000)
[AGENT] injection-vuln: Failed (OUTPUT_VALIDATION_FAILED) (12.6s, $0.0000)
[AGENT] auth-vuln: Failed (OUTPUT_VALIDATION_FAILED) (3.5s, $0.0000)
[AGENT] ssrf-vuln: Failed (OUTPUT_VALIDATION_FAILED) (963ms, $0.0000)
Shannon公式ドキュメントは「ツール呼び出し・出力スキーマへの指示追従が弱いモデルを使うと、ペンテストの質が大きく落ちる」と明記して注意喚起している。
今回、比較的小型なローカルモデル(7B)では、Shannonが要求する構造化出力への追従が実際に破綻することを、全エージェント種が一律同じエラーコードで失敗するという具体的な形で確認できた。
ドキュメントの注意書きが絵空事ではないことを、身をもって再現した形である。
筆者の所感
正直なところ、今日はShannonの実力(実際にPoCの取れる脆弱性を検出する様子)を見せる記事を書くつもりだった。
pre-reconフェーズの分析結果を読んだときは、ソースコードの構造からJWTの実装やSQLインジェクションの危険箇所まで的確に拾い上げていて、相当に期待させる出来だった。
だからこそ、その直後のreconフェーズで2回連続して同じような形で落ちたときは拍子抜けした。
ただ、落ち着いて振り返ると、今回つまずいた箇所はどれも「読者が同じ環境を試せば高確率で踏む」具体的な内容だった。
ドキュメントのターゲットURLの書き方、WSL2でのDocker構成の選び方、途中から再開する方法、無料のローカルモデルに切り替えたときの落とし穴。
実際にPoCが取れる様子を見せられなかった代わりに、Shannonを自分の環境で動かそうとする人が最初にぶつかるであろう壁を、先に全部踏んでおけたとも言える。
限界(正直に書く)
実際の脆弱性スキャン・エクスプロイト結果(Shannonの最終的な価値)までは、Anthropic・Ollamaいずれの経路でも到達できなかった。
reconフェーズ終盤のAGENT_EXECUTION_FAILEDは2回の再現にとどまり、Shannon側へのissue報告は行っていない。根本原因の特定までは至っていない。
Ollama版の検証はqwen2.5:7bという比較的小型のモデル1種類のみで試した。より大きなローカルモデルであれば結果が変わる可能性がある。
検証はWindows 11 + WSL2 + Docker Desktopという特定の環境構成で行った。純粋なLinux環境やmacOSでは、今回報告した一部の問題(snap Docker特有のマウントエラー、Windowsネイティブ版Ollamaとの混線)は発生しない可能性が高い。
詳細な実行ログ・コスト内訳・エラーメッセージの全文はexperiments/day-032/results.mdに記録してある。
Shannon: AI pentester that proves web app vulnerabilities
Shannon is an AI pentester for web applications and APIs. It analyzes your source code, identifies attack vectors, and executes real exploits to prove vulnerabilities before they reach production.
KeygraphHQ/shannon on GitHub: KeygraphHQ/shannon
This week's round-up: youtube.com
Trending today. This video describes what the project says it does — it is not a review or a recommendation.
▶ More like this: youtube.com
Subscribe for a new open source project every day.
#Shorts #GitHub #OpenSource #typescript #shannon #pentester #applications #apis #analyzes #code #identifies #attack #coding #programming #developer
[ar] Shannon: مختبر اختراق ذكاء اصطناعي يثبت ثغرات تطبيقات الويب
شانون هو برنامج ذكاء اصطناعي لاختبار اختراق تطبيقات الويب وواجهات برمجة التطبيقات (APIs). يحلل البرنامج شفرة المصدر، ويحدد نقاط الضعف، وينفذ عمليات استغلال حقيقية لإثبات الثغرات الأمنية قبل وصولها إلى بيئة الإنتاج.
KeygraphHQ/shannon على GitHub: KeygraphHQ/shannon
ملخص هذا الأسبوع: youtube.com
الأكثر رواجًا اليوم. يشرح هذا الفيديو وظائف المشروع المعلنة، وهو ليس مراجعة أو توصية.
▶ المزيد من هذا النوع: youtube.com
اشترك لتصلك مشاريع مفتوحة المصدر جديدة يوميًا.
مقاطع قصيرة جيت هاب مفتوح المصدر تايب سكريبت شانون مختبر اختراق تطبيقات واجهات برمجة التطبيقات يحلل التعليمات البرمجية يحدد هجوم ترميز برمجة مطور
[bn] Shannon: এআই পেন্টেস্টার যা ওয়েব অ্যাপের দুর্বলতা প্রমাণ করে
শ্যানন হলো ওয়েব অ্যাপ্লিকেশন এবং এপিআই-এর জন্য একটি এআই পেন্টেস্টিং টুল। এটি আপনার সোর্স কোড বিশ্লেষণ করে, আক্রমণের সম্ভাব্য পথ (অ্যাটাক ভেক্টর) শনাক্ত করে এবং প্রোডাকশনে পৌঁছানোর আগেই দুর্বলতাগুলো প্রমাণ করার জন্য আসল এক্সপ্লয়েট চালায়।
গিটহাবে KeygraphHQ/shannon: KeygraphHQ/shannon
এই সপ্তাহের সারসংক্ষেপ: youtube.com
আজকের ট্রেন্ডিং। এই ভিডিওটি প্রজেক্টটি যা করে বলে দাবি করে, তা-ই বর্ণনা করে — এটি কোনো রিভিউ বা সুপারিশ নয়।
▶ এই ধরনের আরও ভিডিও: youtube.com
প্রতিদিন একটি নতুন ওপেন সোর্স প্রজেক্টের জন্য সাবস্ক্রাইব করুন।
#Shorts #GitHub #OpenSource #typescript #shannon #pentester #applications #apis #analyzes #code #identifies #attack #coding #programming #developer
[de-DE] Shannon: KI-Pentester, der Webanwendungs-Schwachstellen nachweist
Shannon ist ein KI-Pentester für Webanwendungen und APIs. Er analysiert Ihren Quellcode, identifiziert Angriffsvektoren und führt echte Exploits aus, um Schwachstellen aufzudecken, bevor diese in der Produktion zum Tragen kommen.
KeygraphHQ/shannon auf GitHub: KeygraphHQ/shannon
Wochenrückblick: youtube.com
Heute im Trend. Dieses Video beschreibt die Funktionsweise des Projekts – es ist keine Rezension oder Empfehlung.
▶ Ähnliche Videos: youtube.com
Abonnieren Sie unseren Kanal für täglich neue Open-Source-Projekte.
#Shorts #GitHub #OpenSource #TypeScript #Shannon #Pentester #Anwendungen #APIs #analysiert #Code #identifiziert #Angriffe #Programmierung #Entwicklung
[es-US] Shannon: IA de pentesting que prueba vulnerabilidades en aplicaciones web
Shannon es una herramienta de penetración de IA para aplicaciones web y API. Analiza el código fuente, identifica vectores de ataque y ejecuta exploits reales para demostrar vulnerabilidades antes de que lleguen a producción.
KeygraphHQ/shannon en GitHub: KeygraphHQ/shannon
Resumen de esta semana: youtube.com
Tendencias del día. Este video describe lo que el proyecto afirma hacer; no es una reseña ni una recomendación.
▶ Más contenido similar: youtube.com
Suscríbete para descubrir un nuevo proyecto de código abierto cada día.
#Shorts #GitHub #OpenSource #typescript #shannon #pentester #applications #apis #analyzes #code #identifies #attack #coding #programming #developer
[fr-FR] Shannon : l'IA spécialisée en pentest qui prouve les vulnérabilités des applications web
Shannon est un outil de test d'intrusion IA pour applications web et API. Il analyse votre code source, identifie les vecteurs d'attaque et exécute de véritables exploits pour prouver les vulnérabilités avant leur mise en production.
KeygraphHQ/shannon sur GitHub : KeygraphHQ/shannon
Récapitulatif de la semaine : youtube.com
À la une aujourd'hui. Cette vidéo décrit les fonctionnalités du projet ; il ne s'agit ni d'un test, ni d'une recommandation.
▶ Plus de contenu similaire : youtube.com
Abonnez-vous pour découvrir un nouveau projet open source chaque jour.
#Shorts #GitHub #OpenSource #typescript #shannon #pentester #applications #apis #analyzes #code #identifies #attack #coding #programming #developer
[hi] Shannon: वेब ऐप की खामियों को साबित करने वाला AI पेंटेस्टर
शैनन वेब एप्लिकेशन और API के लिए एक AI पेंटेस्टर है। यह आपके सोर्स कोड का विश्लेषण करता है, हमले के संभावित तरीकों की पहचान करता है और वास्तविक हमलों को अंजाम देकर कमजोरियों को साबित करता है, इससे पहले कि वे प्रोडक्शन में पहुंचें।
KeygraphHQ/shannon GitHub पर: KeygraphHQ/shannon
इस सप्ताह का सारांश: youtube.com
आज का ट्रेंडिंग वीडियो। यह वीडियो बताता है कि यह प्रोजेक्ट क्या करता है - यह कोई समीक्षा या अनुशंसा नहीं है।
▶ इस तरह के और वीडियो: youtube.com
हर दिन एक नए ओपन सोर्स प्रोजेक्ट के लिए सब्सक्राइब करें।
#शॉर्ट्स #गिटहब #ओपनसोर्स #टाइपस्क्रिप्ट #शैनन #पेंटेस्टर #एप्लिकेशन #एपीआई #विश्लेषण #कोड #पहचान #हमला #कोडिंग #प्रोग्रामिंग #डेवलपर
[id] Shannon: Pentester AI yang membuktikan kerentanan aplikasi web.
Shannon adalah pentester AI untuk aplikasi web dan API. Ia menganalisis kode sumber Anda, mengidentifikasi vektor serangan, dan mengeksekusi eksploitasi nyata untuk membuktikan kerentanan sebelum mencapai produksi.
KeygraphHQ/shannon di GitHub: KeygraphHQ/shannon
Ringkasan minggu ini: youtube.com
Sedang tren hari ini. Video ini menjelaskan apa yang dikatakan proyek ini — ini bukan ulasan atau rekomendasi.
▶ Lebih banyak seperti ini: youtube.com
Berlangganan untuk proyek open source baru setiap hari.
#Shorts #GitHub #OpenSource #typescript #shannon #pentester #applications #apis #analyzes #code #identifies #attack #coding #programming #developer
[it] Shannon: L'IA pentester che dimostra le vulnerabilità delle web app
Shannon è un penetration tester basato sull'intelligenza artificiale per applicazioni web e API. Analizza il codice sorgente, identifica i vettori di attacco ed esegue exploit reali per dimostrare le vulnerabilità prima che raggiungano l'ambiente di produzione.
KeygraphHQ/shannon su GitHub: KeygraphHQ/shannon
Riepilogo della settimana: youtube.com
Tendenze di oggi. Questo video descrive le funzionalità dichiarate del progetto e non costituisce una recensione o una raccomandazione.
▶ Altri video simili: youtube.com
Iscriviti per scoprire ogni giorno un nuovo progetto open source.
#Shorts #GitHub #OpenSource #typescript #shannon #pentester #applications #apis #analyzes #code #identifies #attack #coding #programming #developer
[iw] Shannon: בודק חדירות מבוסס בינה מלאכותית שמוכיח פגיעויות באפליקציות ווב
Shannon הוא כלי חדירה מבוסס בינה מלאכותית עבור יישומי אינטרנט וממשקי API. הוא מנתח את קוד המקור שלך, מזהה וקטורי תקיפה ומבצע פרצות אמיתיות כדי להוכיח פגיעויות לפני שהן מגיעות לתהליך הייצור.
KeygraphHQ/shannon ב-GitHub: KeygraphHQ/shannon
סיכום השבוע: youtube.com
בטרנדים היום. סרטון זה מתאר מה הפרויקט אומר שהוא עושה - זו אינה סקירה או המלצה.
▶ עוד כמו זה: youtube.com
הירשמו לפרויקט קוד פתוח חדש בכל יום.
#Shorts #GitHub #OpenSource #typescript #shannon #pentester #applications #apis #analyzes #code #identifies #attack #coding #programming #developer
[ja] Shannon：Webアプリの脆弱性を実証するAIペネトレーションテスター
Shannonは、WebアプリケーションとAPI向けのAIペネトレーションテスターです。ソースコードを分析し、攻撃経路を特定し、実際の攻撃を実行して、脆弱性が本番環境に導入される前に検証します。
GitHubのKeygraphHQ/shannon：KeygraphHQ/shannon
今週のまとめ：youtube.com
本日のトレンド。この動画は、プロジェクトの説明内容を紹介するものであり、レビューや推奨ではありません。
▶ 類似動画：youtube.com
毎日新しいオープンソースプロジェクトを紹介するチャンネル登録はこちら。
#Shorts #GitHub #OpenSource #typescript #shannon #pentester #applications #apis #analyzes #code #identifies #attack #coding #programming #developer
[ko] Shannon: 웹 애플리케이션 취약점을 입증하는 AI 모의 해킹 도구
Shannon은 웹 애플리케이션과 API를 위한 AI 침투 테스트 도구입니다. 소스 코드를 분석하고 공격 벡터를 식별하며, 실제 익스플로잇을 실행하여 취약점이 실제 서비스에 적용되기 전에 검증합니다.
KeygraphHQ/shannon GitHub: KeygraphHQ/shannon
이번 주 요약: youtube.com
오늘의 인기 영상입니다. 이 영상은 프로젝트의 기능을 설명하는 영상이며, 리뷰나 추천 영상이 아닙니다.
▶ 더 많은 영상 보기: youtube.com
매일 새로운 오픈 소스 프로젝트를 받아보시려면 구독하세요.
#Shorts #GitHub #OpenSource #typescript #shannon #pentester #applications #apis #analyzes #code #identifies #attack #coding #programming #developer
[ml] ഷാനൻ: വെബ് ആപ്പ് വൾനറബിലിറ്റികൾ തെളിയിക്കുന്ന AI പെൻടെസ്റ്റർ
വെബ് ആപ്ലിക്കേഷനുകൾക്കും API-കൾക്കും വേണ്ടിയുള്ള ഒരു AI പെന്റസ്റ്ററാണ് ഷാനൻ. ഇത് നിങ്ങളുടെ സോഴ്സ് കോഡ് വിശകലനം ചെയ്യുന്നു, ആക്രമണ വെക്റ്ററുകളെ തിരിച്ചറിയുന്നു, ഉൽപ്പാദനത്തിൽ എത്തുന്നതിനുമുമ്പ് ദുർബലതകൾ തെളിയിക്കാൻ യഥാർത്ഥ ചൂഷണങ്ങൾ നടത്തുന്നു.
GitHub-ലെ KeygraphHQ/shannon: KeygraphHQ/shannon
ഈ ആഴ്ചയിലെ സംഗ്രഹം: youtube.com
ഇന്ന് ട്രെൻഡുചെയ്യുന്നു. പ്രോജക്റ്റ് എന്താണ് പറയുന്നതെന്ന് ഈ വീഡിയോ വിവരിക്കുന്നു - ഇത് ഒരു അവലോകനമോ ശുപാർശയോ അല്ല.
▶ ഇതുപോലുള്ള കൂടുതൽ: youtube.com
എല്ലാ ദിവസവും ഒരു പുതിയ ഓപ്പൺ സോഴ്സ് പ്രോജക്റ്റിനായി സബ്സ്ക്രൈബുചെയ്യുക.
#ഷോർട്ട്സ് #GitHub #OpenSource #typescript #shannon #pentester #applications #apis #analyzes #code #identifies #attack #coding #programming #developer
[nl-NL] Shannon: AI-pentester die kwetsbaarheden in webapplicaties bewijst
Shannon is een AI-pentester voor webapplicaties en API's. Het analyseert je broncode, identificeert aanvalsvectoren en voert echte exploits uit om kwetsbaarheden aan te tonen voordat ze in productie worden genomen.
KeygraphHQ/shannon op GitHub: KeygraphHQ/shannon
Het overzicht van deze week: youtube.com
Trending vandaag. Deze video beschrijft wat het project zegt te doen — het is geen recensie of aanbeveling.
▶ Meer zoals dit: youtube.com
Abonneer je voor een nieuw open source-project elke dag.
#Shorts #GitHub #OpenSource #typescript #shannon #pentester #applications #apis #analyzes #code #identifies #attack #coding #programming #developer
[pl] Shannon: AI pentester, który weryfikuje podatności aplikacji internetowych
Shannon to pentester sztucznej inteligencji (AI) dla aplikacji internetowych i interfejsów API. Analizuje kod źródłowy, identyfikuje wektory ataków i uruchamia rzeczywiste exploity, aby udowodnić luki w zabezpieczeniach, zanim trafią one do produkcji.
KeygraphHQ/shannon na GitHubie: KeygraphHQ/shannon
Podsumowanie tego tygodnia: youtube.com
Popularne dzisiaj. Ten film opisuje, co projekt obiecuje — nie jest to recenzja ani rekomendacja.
▶ Więcej podobnych: youtube.com
Subskrybuj, aby codziennie otrzymywać informacje o nowym projekcie open source.
#Shorts #GitHub #OpenSource #typescript #shannon #pentester #aplikacje #apis #analizuje #kod #identyfikuje #atak #kodowanie #programowanie #programista
[pt-BR] Shannon: IA de pentest que comprova vulnerabilidades em aplicações web
Shannon é um pentester de IA para aplicações web e APIs. Ele analisa seu código-fonte, identifica vetores de ataque e executa exploits reais para comprovar vulnerabilidades antes que elas cheguem à produção.
KeygraphHQ/shannon no GitHub: KeygraphHQ/shannon
Resumo desta semana: youtube.com
Em alta hoje. Este vídeo descreve o que o projeto faz — não é uma avaliação ou recomendação.
▶ Mais vídeos como este: youtube.com
Inscreva-se para receber um novo projeto de código aberto todos os dias.
#Shorts #GitHub #OpenSource #typescript #shannon #pentester #applications #apis #analyzes #code #identifies #attack #coding #programming #developer
[ru] Shannon: AI-пентестер, доказывающий уязвимости веб-приложений
Shannon — это инструмент для тестирования веб-приложений и API с использованием искусственного интеллекта. Он анализирует исходный код, выявляет векторы атак и выполняет реальные эксплойты для подтверждения уязвимостей до того, как они попадут в продакшн.
KeygraphHQ/shannon на GitHub: KeygraphHQ/shannon
Обзор этой недели: youtube.com
Тренды сегодня. В этом видео описывается, что, по заявлению проекта, он делает — это не обзор и не рекомендация.
▶ Больше подобного: youtube.com
Подписывайтесь, чтобы получать информацию о новых проектах с открытым исходным кодом каждый день.
#Короткие_ролики #GitHub #Открытый_исходный_код #typescript #shannon #pentester #applications #apis #анализирует #код #выявляет #атаку #кодирование #программирование #разработчик
[ta] Shannon: இணையதள செயலியின் பாதிப்புகளை நிரூபிக்கும் AI பென்டெஸ்டர்
ஷானன் என்பது வலைப் பயன்பாடுகள் மற்றும் API-களுக்கான ஒரு AI பென்டெஸ்டர் ஆகும். இது உங்கள் மூலக் குறியீட்டைப் பகுப்பாய்வு செய்து, தாக்குதல் வழிகளை அடையாளம் கண்டு, உற்பத்தி நிலையை அடையும் முன்பே பாதிப்புகளை நிரூபிக்க உண்மையான சுரண்டல்களைச் செயல்படுத்துகிறது.
GitHub-இல் KeygraphHQ/shannon: KeygraphHQ/shannon
இந்த வாரத் தொகுப்பு: youtube.com
இன்று பிரபலமாக உள்ளது. இந்த வீடியோ, இந்தத் திட்டம் என்ன செய்வதாகக் கூறுகிறதோ அதை விவரிக்கிறது — இது ஒரு விமர்சனமோ அல்லது பரிந்துரையோ அல்ல.
▶ இது போன்ற மேலும் பல: youtube.com
ஒவ்வொரு நாளும் ஒரு புதிய ஓப்பன் சோர்ஸ் திட்டத்திற்காக சப்ஸ்கிரைப் செய்யுங்கள்.
#Shorts #GitHub #OpenSource #typescript #shannon #pentester #applications #apis #analyzes #code #identifies #attack #coding #programming #developer
[te] Shannon: వెబ్ యాప్ లోపాలను నిరూపించే AI పెన్-టెస్టర్
షానన్ అనేది వెబ్ అప్లికేషన్లు మరియు APIల కోసం ఒక AI పెంటెస్టర్. ఇది మీ సోర్స్ కోడ్ను విశ్లేషిస్తుంది, దాడి చేసే మార్గాలను (ఎటాక్ వెక్టర్స్) గుర్తిస్తుంది, మరియు లోపాలు ప్రొడక్షన్కు చేరకముందే వాటిని నిరూపించడానికి నిజమైన ఎక్స్ప్లాయిట్లను అమలు చేస్తుంది.
GitHubలో KeygraphHQ/shannon: KeygraphHQ/shannon
ఈ వారం రౌండప్: youtube.com
ఈరోజు ట్రెండింగ్. ఈ వీడియో, ఈ ప్రాజెక్ట్ ఏమి చేస్తుందో వివరిస్తుంది — ఇది సమీక్ష లేదా సిఫార్సు కాదు.
▶ ఇలాంటివి మరిన్ని: youtube.com
ప్రతిరోజూ ఒక కొత్త ఓపెన్ సోర్స్ ప్రాజెక్ట్ కోసం సబ్స్క్రయిబ్ చేసుకోండి.
#Shorts #GitHub #OpenSource #typescript #shannon #pentester #applications #apis #analyzes #code #identifies #attack #coding #programming #developer
[uk] Shannon: AI-пентестер, що доводить вразливості вебдодатків
Shannon — це пентестер штучного інтелекту для веб-додатків та API. Він аналізує ваш вихідний код, визначає вектори атак та виконує реальні експлойти, щоб довести вразливості, перш ніж вони потраплять у продакшн.
KeygraphHQ/shannon на GitHub: KeygraphHQ/shannon
Огляд цього тижня: youtube.com
Тренди сьогодні. Це відео описує, що саме робить проект — це не огляд і не рекомендація.
▶ Більше схожих відео: youtube.com
Підпишіться на новий проект з відкритим кодом щодня.
#Шорти #GitHub #ВідкритийВихіднийКод #typescript #shannon #пентестер #додатки #apis #аналізує #код #ідентифікує #атака #кодування #програмування #розробник
1 like · 1 comment · 111 views
Seriously slick architecture by @KeygraphHQ—using AI to analyze source code and actually execute real exploits before production is the ultimate security workflow. 🤯
🔗 项目地址：KeygraphHQ/shannon
1 like · 23 views
Aquí os dejo el repo: KeygraphHQ/shannon
5 likes · 389 views
AIエージェントは攻撃工程のどこを担うのか：12製品・2連携構成の比較
はじめに
脆弱性を調べるAI、検証するAI、結果を整理するAI。こうした役割を組み合わせたセキュリティツールが公開され、診断の効率化にも、攻撃者による悪用にも使われています。
ただし、「自律型」「マルチエージェント」「スウォーム」という説明だけでは、その製品がどこまで動くのかは分かりません。複数の担当が順番に動く場合もあれば、同時に動く場合もあります。製品の標準機能と、利用者がツールを追加した構成も異なります。
本稿で考える問いは、「攻撃工程のどこを、どの構成でAIに任せ、人間はどこで判断しているのか」です。
12製品と2つの連携構成を、次の3つの観点で整理します。
観点
確認すること
攻撃工程
偵察、侵入、侵入後の活動など、どの作業を扱うか
運用構成
誰が判断し、担当をどう分け、結果をどう共有するか
証拠と結果
仕様に書かれているのか、事件で試されたのか、成功したのか
読み終えたときに、製品名の順位ではなく、実行権限・分担・人間の介入・結果の根拠からエージェントを比較できることを目指します。
!
本稿は2026年10月25日までに確認した公開資料に基づく比較調査です。製品を同一環境で動かした性能試験ではありません。事件についても、各調査主体が報告した内容を整理しており、筆者が被害環境を独自に調査したものではありません。
1. 「エージェント」と「スウォーム」を分けて考える
エージェントは、結果を受けて次の行動を選ぶ
本稿では、モデルと実行管理を組み合わせ、ツールの実行結果を受けて次の行動を選ぶ単位を「エージェント」と呼びます。
たとえば、決められた検査を順番に実行するだけのスクリプトと、検査結果を見て次に調べる場所を変更するエージェントでは、制御の仕組みが異なります。LLMは判断の一部を担いますが、実際に実行できる操作は、接続されたツール、認証情報、ネットワーク、承認設定によって決まります。
用語
本稿での意味
単一エージェント
1つの実行主体が、調査から整理までを順次進める
マルチエージェント
複数の実行主体に作業を分担させる。順番の委任も含む
スウォーム
複数のエージェントが並列に作業し、結果を共有・調整する構成
オーケストレーション
作業の割り当て、実行順序、結果の受け渡しを管理すること
製品連携
異なるフレームワークを組み合わせること
「スウォーム」は本稿の比較に使う操作的定義です。すべての開発者がこの意味で用いているわけではありません。
図1：単独・順番の委任・並列協調
図1：構成の違いを示す本稿独自の模式図。特定製品の標準実装ではない。承認の位置や有無は設定によって変わる。作成日：2026年10月25日。
ここで大切なのは、階層型と並列動作は両立することです。まとめ役がいる構成でも、複数の担当が同時に動けば並列処理になります。また、異なる製品を併用していても、情報を順番に渡すだけなら、並列スウォームとまではいえません。
ツールが150個あることも、150個のエージェントが同時に動くことを意味しません。「道具の数」「担当の数」「同時実行数」は別の項目です。
2. 比較する単位と、根拠の読み方
対象は12製品と2つの連携構成
対象の種類
本稿で扱うもの
12製品・基盤
PentestGPT、Strix、Cairn、Hermes、ARTEX、CyberStrikeAI、HexStrike AI、Villager、PentAGI、CAI、Shannon、XBOW
連携構成1
Cairn＋Strix＋Hermesを併用した事案
連携構成2
OpenClaw＋Hermesを組み込んだ事案
したがって、「14種類の同等な製品」の比較ではありません。OpenClawは、この調査では連携構成の一部として扱います。
また、提供形態と悪用の有無は別の属性です。OSS、商用、研究用という分類に、事件での利用状況を重ねて記録します。「防御目的のOSSだから悪用されない」「商用だから拡散しない」とは判定しません。
製品名だけでは再現条件が足りない
比較の単位は、次の組み合わせにします。
製品・版 × モデル × 実行モード × 承認設定 × 追加ツール × 単独／連携
たとえば、同じHermesでも、ローカル端末を操作する構成と、隔離環境だけを操作する構成では、実行できる範囲が変わります。公式READMEには複数の端末バックエンド、モデル選択、並列サブエージェント、記憶の仕組みが説明されています。Hermes公式README
本稿の製品仕様は、原則として確認日時点の公開文書に基づきます。GitHubのmainなど更新される参照を含み、全件を特定コミットに固定した実装監査ではありません。事件で使われた版や追加設定が公開されていない場合は、現在の標準仕様から補完しません。
根拠の種類と、実行結果を別々に記録する
根拠の種類
意味
その根拠だけでは分からないこと
公式記述
開発者が機能や設計を説明している
実環境での成功率、第三者による再現性
機能分析
調査者がコードや配布物などを分析している
実際の被害で使われたか
研究実験
条件を設けた実験で結果が示されている
別環境、別モデルでも同じ結果になるか
事件報告
事件に関連する記録や痕跡が報告されている
全操作の成功、標準製品単体への帰属
未確認
今回の資料では根拠が足りない
機能がない、悪用されていない、という意味ではない
事件報告の中にも、設定ファイルだけが見つかった場合、実行を試みた場合、成功まで確認された場合があります。そこで、次の3項目を追加します。
実行状態：計画・設定のみ／試行／実行を確認／不明。
結果：成功／部分成功／失敗／不明／評価対象外。
帰属の範囲：単体製品／追加構成／連携全体／人間の操作／判別不能。
「観測された」というラベルは、成功の印ではありません。AIが出した完了報告だけでなく、対象側の応答、操作記録、取得データなど、何を根拠に成否を判定したのかを読みます。
3. サイバーキルチェーンを「空き巣」で理解する
標準の7段階と、本稿の教育用分類
Lockheed MartinのCyber Kill Chainは、偵察、武器化、配送、悪用、インストール、指令制御、目的の実行という7段階で侵入活動を整理します。防御側が攻撃のどこを捉え、妨げられるかを考えるためのモデルです。Lockheed Martin原論文
図2：標準7段階と、説明用の4区分
図2：上段はLockheed Martinの7段階を日本語で要約。下段は本稿独自の説明区分で、一対一の対応ではない。実際の活動には反復・並行・省略がある。確認日：2026年10月25日。
空き巣のたとえは、侵入してからの活動を説明するのに便利です。ただし、次の9項目は標準のCyber Kill Chainそのものではなく、本稿独自の教育用分類です。
教育用の項目
空き巣のたとえ
技術的に見ること
① 下見
家の外から状況を調べる
公開資産やサービスの調査。侵入後の内部調査は別記する
② 弱点探し
鍵や窓の弱い部分を調べる
脆弱性、設定不備、認証・認可の欠陥の検証
③ 侵入
家の中へ入る
アクセス獲得。コード実行まで確認できたかも分ける
④ 権限拡大
より多くの部屋を開けられる鍵を得る
一般利用者から管理者など、より強い権限の獲得
⑤ 横移動
つながった別棟へ移る
別の端末、サーバー、システムへの移動
⑥ 足場維持
後から戻れる入口を残す
再侵入・再接続できる状態の維持
⑦ 遠隔操作
外にいる指示役が中の仲間へ指示する
侵害した対象との指令・制御通信
⑧ 持ち出し
品物を家の外へ運ぶ
情報を対象環境の外へ送る
⑨ 金銭化
盗品を売る、金銭を要求する
販売や身代金要求など。技術工程とは別の目的・結果
⑨はすべての攻撃に存在する工程ではありません。情報収集、妨害、破壊を目的とする活動もあるため、以下の製品比較では①〜⑧と分離して扱います。
ATT&CKは、順番よりも行動の目的を整理する
MITRE ATT&CKの戦術は、その行動を行う目的を表します。表の左から右へ、必ず順番に進むという意味ではありません。MITRE ATT&CKの戦術一覧
本稿の分類
関連するATT&CK戦術
対応付けの注意
下見
Reconnaissance / Discovery
侵入前と侵入後を区別する
弱点探し
作業の目的・場所に応じて判断
単一の戦術に固定しない
侵入
Initial Access / Execution
アクセス獲得と実行は別の事実
権限拡大
Privilege Escalation
認証情報の取得だけで成立としない
横移動
Lateral Movement
同じ端末内の操作と区別する
足場維持
Persistence
AIの記憶やコンテナの寿命とは別
遠隔操作
Command and Control
AIへのチャット指示だけでは該当しない
持ち出し
Exfiltration
環境内でのCollectionと区別する
金銭化
行動に応じて個別に整理
万能な「金銭化」戦術へ置き換えない
この対照は本稿による整理です。9項目では、認証情報の取得、収集、隠蔽、防御機構への妨害、影響・破壊などを十分に分離していません。詳しい分析では、元の行動記録からATT&CKへ直接対応付けます。
4. 8つの運用特性から比較する
自律度：人間が判断する場所
「完全」「半自律」の2択だけでなく、どの操作で承認を求めるかを記録します。人間が開始時に範囲を設定し、その後は自動実行する構成もあれば、検査は自動でも変更操作の前に止まる構成もあります。
YOLOという名称があっても、製品をまたいだ共通の規格ではありません。承認を省略する範囲と、実際に与えられた権限を確認します。承認なしで進むことと、最後まで正しく完遂できることは別です。
構成：担当と同時実行の仕組み
まとめ役の有無、専門担当への委任、同時実行数、結果の受け渡しを見ます。複数の担当がいても順次実行なら、その部分は並列ではありません。共有状態がある場合は、誰が更新し、矛盾した結果をどう扱うかも比較項目になります。
LLM：選択できるモデルと役割ごとの割り当て
固定モデルか、複数プロバイダーを選べるか、ローカルモデルを使えるかを分けます。役割ごとにモデルが異なる構成では、主担当だけを書いても再現条件が足りません。選択肢の多さは、能力の実測値ではありません。
隔離：何から何を隔てるのか
Dockerなどの実行環境は、ホストとの分離を考える材料です。一方、コンテナから本番システムへ接続できるなら、その対象に対する操作まで防ぐものではありません。
「隔離あり」の一文字にまとめず、ホストのマウント、資格情報、外部接続、コンテナ管理権限を記録します。PentAGIの公式文書も、Dockerへのアクセスとホスト権限の関係を説明しています。PentAGI公式README
メモリ：何を、どの期間、誰と共有するか
会話履歴、1回の作業の状態、複数担当で共有する発見事項、次回にも残る長期記憶は異なります。記憶があると再調査を減らせる可能性がありますが、古い情報や誤った結論を再利用する可能性もあります。保存期間、出典、更新方法、削除方法まで見ます。
入手性：コード・配布・サービス利用を分ける
公開コードがあること、利用条件がOSSであること、実行パッケージを入手できること、サービスを契約できることは同じではありません。導入に必要な計算資源やモデル費用も異なります。
公開停止やクローズド化が起きても、過去に配布されたコピーまで回収されたとは限りません。「入手性の変化」と「実際の拡散量」は別々に記録します。
ガードレール：どこで制限を強制するか
モデルに「許可された対象だけを調べる」と指示する制御と、ネットワークやツール実行層で接続先を制限する制御では、働く場所が異なります。利用規約、モデルの拒否、対象範囲、承認、権限、通信、監査を分解します。
制御が書かれていることと、対象の事案で有効だったことも別です。悪用が起きたという事実だけから、すべての制御が無効だとは結論付けません。
悪用：関連の強さと実行結果
「話題になった」「攻撃基盤に存在した」「実行記録があった」「被害が確認された」を分けます。事件が見つからなかった製品は「今回の資料では未確認」とします。
図表3：代表4製品の運用比較
以下は公式資料と選定した報告に基づく抜粋です。「未確認」は、今回確認した資料から詳しい条件を確定できないことを意味します。表の機能が全モードで常に有効という意味ではありません。
観点
PentAGI
Shannon
Hermes
XBOW
自律度
目標から自律実行する設計
自律的な診断フロー
目的・権限・承認設定に依存
自律的な脆弱性検証を説明
構成
専門担当への委任
解析・検証などの担当を組み合わせる
並列サブエージェントに対応
内部構成の詳細は未確認
LLM
複数プロバイダー・ローカル構成
複数プロバイダー・ローカル構成
複数プロバイダー・任意エンドポイント
利用者の選択範囲は未確認
隔離
Docker実行環境
一時的なDockerワーカー
ローカル・Docker・SSHなどから選択
実行環境の詳細は未確認
メモリ
長期保存・検索の仕組み
実行結果・ログを保存。長期学習とは区別
会話をまたぐ記憶・スキル
保持・共有の詳細は未確認
入手性
公開セルフホスト版、商用展開もあり
AGPL版と商用エディション
MITの公開基盤
商用サービス
制御の確認点
実行権限、接続先、監視の設定
対象範囲、実行環境、モデル側制御
コマンド承認、接続先、資格情報
契約・対象確認・権限の実装条件
悪用に関する資料
類似公開基盤・派生系を含む利用報告
選定資料では事件との関連を未確認
複数の事件報告
選定資料では事件との関連を未確認
図表3：仕様はPentAGI、Shannon、Hermes、XBOWを参照。関連事案はAnthropic、Unit 42を参照。構成・条件を揃えた性能比較ではない。確認日：2026年10月25日。
この表から比較できるのは、何を公開し、どのような運用を想定しているかです。「未確認」が多い製品を低性能と扱ったり、機能の記載が多い製品を高危険度と採点したりはできません。
5. 代表4製品を、同じ観点で読む
PentAGI：専門担当と記憶を持つ基盤
PentAGIは、専門担当への委任、Docker内のツール実行、PostgreSQLとpgvectorによる保存・検索を説明しています。比較で見るべき点は、担当の役割に加え、前の作業の結果が次の作業へどう引き継がれるかです。公式README
この構成を評価するなら、担当を増やしたときの重複作業、途中失敗からの復旧、人間が訂正した回数を測ります。長期記憶の有無だけでは、その記憶が適切だったかまでは分かりません。
Shannon：コード情報と実行時の検証をつなぐ
Shannonは、対象のソースコードを利用する解析と、稼働中のアプリケーションに対する検証を組み合わせます。公開版と商用版の区別もあります。公式README
そのため、コードを与えないブラックボックス評価とは条件が異なります。過去に示されたShannon Liteの96.15%という数値も、指定されたベンチマークと条件における開発者側の結果です。一般のWebサイトへの成功率や、商用XBOWとの直接比較には使えません。ベンチマークの公開資料
Hermes：汎用基盤と、追加した構成を分ける
Hermesは、端末、外部ツール、記憶などを組み合わせる汎用エージェントです。製品名だけで攻撃専用基盤と分類すると、利用者が追加したツールや権限の影響が見えなくなります。公式README
事件で使われた場合も、どのモデル、追加スキル、認証情報、実行環境で動いていたかを読みます。操作用のTelegramなどは「人間とエージェントの連絡経路」であり、それだけで「侵害先へのC2が組み込まれている」と判定しません。
XBOW：商用サービスの成果と公開範囲を見る
XBOWは自律的な脆弱性の発見・検証を提供する商用サービスです。HackerOneは2025年6月、XBOWが同プラットフォームの米国ランキングで首位となったことを報告しました。XBOW公式説明、HackerOneの報告
ランキングは、その制度と集計範囲での成果です。すべての攻撃工程で人間を上回ることまでは示しません。また、ソース非公開という属性だけでは、サービス利用の広がりや不正利用対策の強さは判断できません。
6. 攻撃工程の対応表は「仕様」と「事件」に分ける
図4：記載・実行・結果を同じ点数にしない
図4：本稿の整理手順。資料の種類に優劣の点数を付けず、実行状態と結果を分離する。作成日：2026年10月25日。
6.1 公式資料の記述を整理した表
「記」は、選定した公式資料に該当する説明があることを示します。「未」は、その資料だけでは個別工程への対応を確定しないことを示します。「記」は実測能力、「未」は非対応という意味ではありません。
製品・資料
①調査
②弱点探索
③侵入の検証
侵入後について採用する記述
PentestGPT
記
記
記
権限昇格の対応カテゴリ。モード差に注意
Strix
記
記
記
post-exploitationの説明。個別工程の裏付けは別途必要
Cairn
未
未
未
汎用の問題解決・状態共有という説明だけでは個別工程に固定しない
Hermes
未
未
未
汎用の端末・ツール操作を、攻撃工程への対応と同一視しない
ARTEXの公開方針
未
未
未
元の仕様を十分に再確認できないため、事件報告と分離
CyberStrikeAI
記
記
記
C2・WebShell管理を明記
HexStrike AI
記
記
記
ツール一覧から個別工程の成功を推定しない
Villager
未
未
未
本稿では第三者の機能分析を別扱いにする
PentAGI
記
記
記
広い用途の説明だけで、各工程を埋めない
CAI
記
記
記
権限昇格、横移動、持ち出し、指令制御のカテゴリ
Shannon
記
記
記
Webの認可検証とOS管理者権限の獲得を区別
XBOW
未
記
記
選定した資料では侵入後の内訳を確定しない
表の確認日：2026年10月25日。機能の全数調査ではなく、本文で採用する記述の範囲。CairnやHermesの「未」は、事件での利用と矛盾しない。
「post-exploitationに対応」という総称から、権限昇格、横移動、足場維持、C2、持ち出しのすべてに丸を付けると、資料にない能力を追加してしまいます。個別の操作を説明する根拠がある場合に、その工程を記録します。
6.2 事件の行動と結果を整理した表
報告された構成
行動・結果の要点
帰属の範囲と留保
Cairn＋Strix＋Hermes
複数製品を使った侵害・窃取活動を報告
人間や追加ツールを含む事案全体。各製品の標準能力ではない
Hermes＋DeepSeekなど
自律的な侵入試行は失敗。手動活動で侵害を確認
自動試行と人間の成果を分離する
OpenClaw＋Hermesを含む独自構成
並列処理や情報持ち出しを報告。一部の設置試行は実行を阻止された
変更された構成。すべての工程で成功したわけではない
ARTEXを利用した活動
韓国の金融分野を狙う侵害活動との関連を報告
事件全体の窃取や売却先の相談を、ARTEX単体に転記しない
CyberStrikeAIが見つかった攻撃基盤
稼働を示すバナーと関連通信を観測
全接続先の侵害成功を示すものではない
出典：Gambit、Unit 42、Dream、CrowdStrike、Team Cymru。
「悪用あり」という同じ一言でも、根拠の強さと観測範囲は異なります。たとえば、攻撃基盤に製品が存在することは関連を示しますが、その製品がすべての侵害を自動で成功させた証明にはなりません。
7. 3つの事例から、連携と結果を読む
事例1：Cairn＋Strix＋Hermesの併用
Gambitは2026年9月、オンライン小売業者を狙う事案で3製品の併用を報告しました。Strixによる探索、Cairnによる侵入作業、Hermesを通じた運用が説明され、人間の指示も残っています。Gambitの一次報告
図5：報告された役割分担
図5：Gambit報告の役割を抜粋した模式図。線は論理的な関係を示し、API接続、同時実行、厳密な時系列を再現しない。破線の具体的な制御経路は省略。確認日：2026年10月25日。
同報告は、直接確認した証拠に加え、ログとAIの報告を用いており、一部は独立検証ができていないと説明しています。この条件を残したうえで、複数の基盤が実運用で組み合わされた例として読みます。
ここから考えられるのは、製品ごとの機能だけでなく、担当間の引き継ぎが、次の作業を始める手間をどう変えるかという評価課題です。「組み合わせれば、どんな対象でも全工程を突破できる」という一般化はできません。
事例2：自律試行の失敗と、手動活動の成果
Unit 42は、HermesとDeepSeekを使った探索・侵入試行を報告しました。この事案では、自律的な試行が成功しなかった一方、人間が行った活動では侵害を確認しています。Unit 42の一次報告
評価する対象
報告された状態
表に記録すること
エージェントの探索と侵入試行
自律的に実施されたが、侵入試行は失敗
自律実行あり／侵入成功とはしない
操作者の手動活動
侵害を確認
人間の活動として記録
事件全体
AIと手動活動が併存
成果をすべてAIへ帰属させない
この区別は、脅威を小さく見積もるためのものではありません。どの作業が自動化でき、どの条件で行き詰まり、人間がどこを補ったかを明らかにするためです。
自律性は「誰が次を決めるか」、成功率は「目的を達成できたか」です。この2つを同じ軸にすると、失敗し続ける自動処理も高性能と評価されてしまいます。
事例3：OpenClaw＋Hermesを含む独自構成
Dreamは2026年8月、アジアの政府機関を対象とした独自構成を報告しました。1波あたり最大8つのサブエージェントによる並列作業や結果の再利用を説明しています。一方、WebShellの設置に関する記述には、アップロード後の実行が阻止された例が含まれます。Dreamの一次報告
本稿では、被害国を特定しない一次報告に合わせて「アジアの政府機関」と表記します。Hunt.ioが報告したタイ財務省のHermes関連事案とは別件です。hunt.io
この事例から学べるのは、並列化の確認と、目的達成の確認を分ける必要性です。複数の担当が動いたこと、結果を共有したこと、対象に持続的にアクセスできたことは、それぞれ異なる主張です。
「観測された傾向」と「一般的な普及率」も分ける
Anthropicの2026年9月報告には、作業を分解してエージェントへ割り当てる活動や、PentAGIのような公開基盤・派生系への言及があります。ただし、同社は典型的な悪用の統計ではなく、注目すべき事例を選んだ報告だと説明しています。Anthropicの脅威報告
そのため、本稿の結論は「こうした構成の実運用が報告されている」です。「すべての攻撃者の常套手段になった」「攻撃の大半がスウォーム化した」といった普及率までは導けません。
8. 「自律危険度×拡散リスク」の散布図をどう扱うか
自律性と入手性を別の軸にする発想には、比較の整理として意味があります。ただし、合成スコアにする前に、それぞれ何を測ったのかを決める必要があります。
軸に入れたい要素
実際に測るなら必要な情報
自律性
人間の介入回数、承認対象、再指示の割合
並列性
同時実行数、依存関係、共有状態、競合・重複
能力
同じ条件で検証した工程別の成功率
拡散
入手経路、導入負担、利用実態、配布・利用者数の解釈
被害リスク
到達可能な資産、権限、対象の弱点、損失の大きさ
制御
強制する場所、回避・無効化の条件、検証結果
OSSであることを横軸の高得点条件にすれば、OSSが右側に集まるのは採点方法の結果でもあります。そこから「OSSは社会的に最も危険」と結論付けると循環します。
同様に、メモリや並列性の有無を足し算しても、実行成功率や損失額にはなりません。機能どうしには依存関係があり、同じ性質を二重に数える可能性もあります。
本稿では、次の3つを独立した情報として示します。
どう動く設計か：運用比較表。
何が報告されているか：証拠・結果の表。
どれだけ再現できるか：今後の条件を揃えた実行試験。
散布図を掲載する場合は、測定値ではない「概念図」と明記します。確認できない項目をゼロ点にしたり、出典のない細かな順位を付けたりしない設計が適しています。
9. 防御側が確認する2つの場面
外からの攻撃に備える
対象システム側では、攻撃主体が人間かエージェントかを判定する前に、どの境界を越える操作なのかを捉える必要があります。次は、本稿の工程分類から整理した確認観点です。
工程
確認する境界
記録・確認の例
偵察・弱点探索
インターネットと公開資産
管理画面の露出、認証前API、探索が集中する接続先
アクセス獲得
未認証と認証済みの境界
認証失敗、セッション発行、脆弱なサービスへの接続
権限拡大・横移動
アカウント、権限、ネットワーク区画
権限変更、資格情報の利用元、端末間通信
足場維持・遠隔操作
継続実行と外部通信
新しい常駐処理、構成変更、未知の外部接続
持ち出し
内部データと外部への転送
データへのアクセスと転送先の対応、通常との差
並列化が進む場合、1台・1アカウントの短い時間帯だけでは作業全体が見えない可能性があります。接続元、対象、資格情報、変更、通信を関連付けて調べる設計が必要です。これは本稿から導く防御上の検討事項であり、特定製品の検知率を実証したものではありません。
自組織が使うエージェントを管理する
自組織が診断エージェントを利用する場合は、エージェントが何を見られ、どの操作を実行できるかを先に設計します。
図6：操作を許可・記録・停止する境界
図6：本稿が提案する制御点の模式図。特定製品がこの構成を実装しているという意味ではない。停止では新規処理だけでなく、動作中の子プロセスや委任先も対象にする。作成日：2026年10月25日。
実装を検討する際は、次の問いに答えられるようにします。
範囲：対象を誰が承認し、対象の追加をどこで止めるか。
権限：診断に不要な認証情報や本番権限を渡していないか。
承認：データ変更、認証情報の利用、外部送信など、影響のある操作をどこで確認するか。
共有状態：未検証の推測と確認済みの事実を区別し、出典と更新者を残せるか。
記録：担当エージェント、ツール呼び出し、承認、結果を同じ作業IDで追えるか。
停止：終了条件、時間・費用の上限、並列タスクの中止が機能するか。
並列担当がそれぞれ少量の処理をしていても、全体では許容した通信量や費用を超えることがあります。上限は担当ごとと全体の両方で考えます。また、実行環境を破棄した後も、監査に必要な記録を追える構成にします。
10. 調査の限界と、次に測るべきこと
公開情報の多さは、能力の高さではない
公開文書の詳しさ、調査者が取得できたログ、報告対象の選び方によって、埋まる項目の数は変わります。商用サービスは内部情報が少ないことがあり、OSSでも公開実装と実際の運用設定が一致するとは限りません。
また、事件報告は、すべての攻撃を同じ条件で集めた標本ではありません。同じログや調査結果を参照した複数の記事を、独立した複数の証拠として数えないようにします。
本稿では、全製品のコード監査、ライセンスの法的評価、全事件の独立検証は行っていません。最新版の比較が必要な場合は、確認日と対象の版を更新する必要があります。
実行試験を追加する場合の評価設計
公開資料の比較から性能評価へ進むには、許可された同一の検証環境で、条件を揃えて測定します。まず成功条件を決め、AIの自己申告と分離して判定します。
評価項目
記録する値・条件
対象条件
同じ対象環境、初期状態、与えるコード・資格情報・ヒント
実行条件
製品版、モデル、予算、時間、ツール、承認設定
工程別の結果
何を成功とするか、部分成功・失敗の条件
人間の作業量
承認回数、再指示回数、修正内容、介入時間
費用と速度
実行時間、モデル費用、ツール・インフラ費用
再現性
複数回の結果、ばらつき、途中停止と再開
並列化の影響
同時実行数、重複、競合、共有による改善・誤り
範囲の順守
対象外への接続、不要な変更、停止後の残存処理
製品間で利用できるモデルが異なる場合は、差を隠して単一の順位にしません。「製品とモデルを組み合わせた構成の比較」として、条件を併記します。
スウォームの効果を調べる場合も、人数を増やした結果だけでは不十分です。同じ総予算で単独と並列を比較し、成功率が上がったのか、時間が短くなったのか、人間の作業が減ったのかを分けて示します。
11. 結論
AIエージェントを比較する際は、どの工程を扱うか、どう分担するか、何が確認されたかを分ける必要があります。
公開資料からは、専門担当への委任、並列処理、結果の共有、複数製品の併用が確認できます。一方、それぞれが実環境でどの程度の成功率や省力化につながるかは、対象、モデル、権限、人間の介入によって変わります。
防御側が確認したいのは、製品名だけではありません。対象に届く権限、外部へ接続する経路、担当間で共有される情報、承認と停止の仕組みです。評価資料にもこれらの条件を残すことで、製品が更新されても比較をやり直せる形になります。
付録A：全12製品の確認事項
本文で詳しく扱った4製品も含め、製品識別と誤読しやすい点をまとめます。以下の記述は2026年10月25日の確認時点です。
製品
比較するときに押さえること
出典
PentestGPT
2024年論文の対話型設計と、現在の自律実行を説明する公開版を区別する。walkthroughは金銭化ではない
USENIX／現行README
Strix
公式は探索・検証・侵入後の担当を説明。「偵察専用」「悪用報告なし」と固定しない
公式／Gambit
Cairn
起点と目標、共有ボード上の状態を使う汎用基盤。公式の設計と事件中の担当範囲を分ける
公式／NorForge
Hermes
汎用エージェント。追加構成や人間の作業まで、製品標準の攻撃能力に含めない
公式／Unit 42
ARTEX
韓国金融分野の事案と、開発者の公開・更新方針変更を別の事実として記録する。過去のコピー消滅までは意味しない
CrowdStrike／開発者の告知
CyberStrikeAI
AIPentest/CyberStrikeAIが対象。似た名称のCyberStrikeとは別。関連する攻撃基盤の報告がある
公式／Team Cymru
HexStrike AI
MCPを介してツールを利用する基盤。ツール数から並列担当数を推定しない。侵害との関係は個別に確認する
公式／Check Point
Villager
Straikerの分析は、実行環境やツール連携を説明。旧Cyberspike製品のRATの記録と、Villager自体の被害確認を混ぜない
Straikerの分析
PentAGI
専門担当、実行環境、記憶を持つ公開基盤。事件での「類似基盤・派生系」の記述を標準版へ一括帰属させない
公式／Anthropic
CAI
アーカイブ状態。旧OSS版と最終のprofessional版、各部分の利用条件を区別する
アーカイブ説明／LICENSE
Shannon
ソースコードを使う診断条件を明記。公開版と商用版、過去のベンチマーク条件を区別する
公式／評価条件
XBOW
商用としての提供と、公開された評価実績を分ける。非公開部分を能力なしと判定しない
公式／HackerOne
HexStrike AIについては、Citrix脆弱性に関する攻撃者側の議論に加え、攻撃基盤上にコピーが見つかったという別の報告もあります。いずれも、個々の侵害をHexStrikeが実行・成功させたという主張とは分けて読みます。Cyber and Ramenの調査
Villagerの一時コンテナを破棄する仕組みは、標的側のログ消去や足場維持を証明するものではありません。「どこにある何を消すのか」を特定して分類します。Straikerの分析
付録B：連携構成の扱い
構成
本稿での位置付け
単体製品へ移してはいけない情報
Cairn＋Strix＋Hermes
Gambitが報告した併用事案
人間、追加ツール、複数製品を含む成果全体
OpenClaw＋Hermes
Dreamが分析した独自構成
独自の優先順位付けや並列運用を、両製品の既定動作とすること
製品連携の有無、同時実行の有無、結果共有の有無をそれぞれ記録します。名称が複数並んでいるだけでは、スウォームであるとは判定しません。
付録C：更新用の根拠台帳
以下は、記事を更新したり、後から実験結果を追加したりするときに使う記録形式です。1つのセルや主張に複数の根拠がある場合は、根拠ごとに行を分けます。
項目
記録する内容
対象
製品、公式リポジトリ、版またはコミット、確認日
構成
モデル、モード、承認設定、追加ツール、単独／連携
行動
何を行う・行ったと記述されているか
根拠
公式記述、機能分析、研究実験、事件報告
実行状態
計画・設定のみ、試行、実行を確認、不明
結果
成功、部分成功、失敗、不明、評価対象外
帰属
単体、追加構成、連携全体、人間、判別不能
出典
URL、該当する節、公開日、観測期間、確認日
留保
何が未確認か、誰が成功と判定したか、推定の範囲
記録例：
項目
Unit 42のHermes関連事案からの記入例
対象・構成
報告中のHermes＋DeepSeek構成。版は本稿では確定しない
行動
自律的な脆弱性探索・侵入試行
根拠
事件報告
実行状態
試行を報告
結果
報告で扱われた自律的な侵入試行は失敗
帰属
事件中の構成。手動活動の成果は別記録
出典・該当箇所
Unit 42のExecutive SummaryおよびTechnical Analysis
確認日
2026年10月25日
留保
Hermes全体の成功率を表すものではない
図表の更新ルール
各図表には、対象、条件、出典、確認日、読み取りの限界を付けます。記事と動画で同じ主張を使う場合も、本文の留保を落として断定を強めないようにします。
本稿の図1・4・6は説明・評価設計の模式図、図2は標準モデルと独自分類の対照、図表3は公開仕様の比較、図5は事件報告の役割分担の要約です。見た目が似ていても、根拠の性質は異なります。
変更履歴
日付
内容
2026-10-25
初稿。設計書を基に、運用構成、攻撃工程、証拠・結果を分けて整理。全12製品と2連携構成を掲載
🔥 Типы для SQL в TS, аудит безопасности API и Fire TV без рекламы - находки GitHub #shorts #github
Больше полезных находок каждый день - в Telegram: t.me
Подборка интересных находок с GitHub за 23.10.2026: colinhacks/reylo, KeygraphHQ/shannon, humblemuzzu/dumbtv. Сохраняй, чтобы не потерять 💾
colinhacks/reylo: colinhacks/reylo
Reylo позволяет импортировать .sql файлы прямо в TypeScript с полным выводом типов и без кодогенерации. Полезен TypeScript-разработчикам, которые пишут SQL-запросы руками и хотят типобезопасности без лишнего шага сборки.
KeygraphHQ/shannon: KeygraphHQ/shannon
Shannon - ИИ-пентестер для веб-приложений и API: анализирует исходный код, находит векторы атак и запускает реальные эксплойты, чтобы подтвердить уязвимости до выхода в продакшен. Полезен разработчикам и AppSec-командам, которые хотят встроить автоматическую проверку безопасности в CI/CD.
humblemuzzu/dumbtv: humblemuzzu/dumbtv
Набор скриптов, который через ADB без root убирает с Fire TV рекламу, трекинг и лишние приложения; каждое действие обратимо. В комплекте - собственный open-source домашний экран. Пригодится владельцам Fire TV, которые хотят чистую систему и больше приватности.
#shorts #dev #github #useful #opensource
гитхаб, гитхаб подборка, лучшее на гитхаб, новое гитхаб, гитхаб бесплатно, гитхаб ии, гитхаб мсп, гитхаб репы, гитхаб репозитории, лучшие репозитории, рейтинг гитхаб, github ai, best github, new github
1 like · 1 comment · 24 views
YubiKey買って、OpenAI Daybreak Blueゲットして、vibe脆弱性診断してみた。
買ったった!の図
はじめに
自分が作るプログラムから情報が漏れて、会社が吹き飛んだ夢で目覚めることはありますか。
私は年に3回くらいです。
これまでに、OWASP系のツールで診断したり、認証・認可を設計したり、別のお客さんの情報が混ざらないように考えたりしてきました。専門家の脆弱性診断を受けて、指摘された箇所を直した経験もあります。
それでも、自分で作ったシステムにどんな穴が残っているのかは気になります。
最近、情報漏えいのニュースを見かけるたびに、「LLMと脆弱性を探すツールの組み合わせが、攻撃のハードルを下げているのでは」という話も目に入るようになりました。類似手法を知るためにも自分で試そうど考えました。
Keygraphの「Shannon」というツールを試してみることにしました。
(これがクラッカーに攻撃に使われているとは言っていません)
ところが、いざ動かそうとするとOpenAI側のセキュリティ用途のアクセス確認で止まりました。そこから、物理的なセキュリティキーを注文し、届いたキーを登録し、身分証を使った本人確認をして、ようやく診断までたどり着きます。
この記事は、その一連の体験記です。私はセキュリティの専門家ではないので、理解や解釈が間違っているところもあるかもしれません。
先に結果を書くと、Daybreak Blueを取得したアカウントでShannonの分析を完了し、13件の指摘候補を得ました。そのうち2件は、ローカルで挙動を再現できました。
Shannonは、何をしてくれるのか
Shannonは、WebアプリやAPIを調べる、オープンソースのAIペネトレーションテスターです。有料AIと接続する可能性もあるので、利用前にご自身で確認をお願いします。
「ペネトレーションテスト」は、攻撃者が使いそうな方法を試し、防御を突破できるか確かめるテストのことです。ShannonのOSS版は、対象のソースコードと、実際に動いているアプリを組み合わせて調査します。
たとえば、コードを読んで「この処理には権限の確認がなさそうだ」と気づく。次に、動いているアプリへリクエストを送り、本当にその処理を呼び出せるのか調べる。通常の攻撃実証モードでは、成立した問題を証拠と一緒にレポートへまとめる。そうした流れが用意されています。
名前は、情報理論の父であるクロード・シャノンに由来します。READMEには、こんな呼びかけをできるようにしたかった、とも書かれています。
Hey Claude, run Shannon
ニヤニヤしながら、この一文を書いたことが察せられます。
以下が一連のフローです。
LLMに「このコードの危ないところを教えて」と頼むことは、普段使っているコーディングエージェントでもできます。Shannonには、その先の調査を進めるための道具と手順がまとまっています。
ソースを読む。ブラウザを操作する。HTTPでサーバーと通信する。認証や認可、入力を悪用する攻撃など、分野ごとの観点で分析する。見つけた候補を次の工程に引き継ぎ、実証し、結果を残す。
専門的な調査の進め方が、モデルの周囲に組み込まれているわけです。ターミナルから実行したり、開発時の自動チェックに組み込んだりするための仕組みもあります。
実行状態を保存して再開できる点も助かりました。
Codex SecurityやClaude Codeのレビューとは、何が違うのか
Claude Codeの組み込み機能である/security-reviewは、現在のブランチと既定ブランチの差分を見て、セキュリティ上の問題をレビューします。「今回の変更に危ないものが混ざっていないか」という場面に対応する機能です。公式のコマンド説明に、対象となる差分と観点が書かれています。(普段こちらは使っていないので定かではありません。)
一方、Codex Security Cloudは、リポジトリを調べ、脅威の想定を整理し、見つけた問題の再現や修正案の作成まで進めるワークフローを持っています。隔離環境での検証もあるため、「コードを眺めるだけのツール」と考えると実態とずれます。公式FAQでも、ソースから分かることと、実行時の検証が必要なことを分けて説明しています。(普段こちらは使っていないので定かではありません。)
Shannonは、ソースと動いているWebアプリを使って、攻撃経路を調べるペンテストの流れを用意しています。
診断を始める前に、OpenAI側で止まった
最初に出会ったのが、次のエラーです。
OpenAiCyberAccessError
アプリ(localで立ち上げ)のURLやモデルへの接続を確認した後、Checking cyber accessという段階で止まりました。
ここで、接続方法を補足しておきます。今回使ったのは、ChatGPTのサブスクリプションのアカウントでログインする経路です。Shannon側ではopenai-codexとして扱われるOAuth認証で、APIキーを発行して従量課金のAPIを呼ぶ設定ではありません。
使っていたShannon 3.4.0の事前確認のコードを読むと、単に「こんにちは」と送って接続を確かめているわけではありませんでした。
許可されたテスト環境の侵入テスト担当者として、提示されたSQLインジェクション・OSコマンドインジェクション・反射型XSSのサンプルを評価する。悪用できるものについて具体的なbashコマンドを示し、判断理由と確信度を構造化して返す。を求めていました。
分析を始めるための事前確認にも、攻撃の実証に近い依頼が入っていたわけです。これが拒否に関係した可能性はありそうです。ただし、OpenAI側がどの内容をどう判定したのかまでは分かりません。確認できたのは、止まった段階と、そこで送るよう実装されていた依頼の内容です。
なお、この事前確認はモデルへ判断を求めるものです。サンプルに書かれた外部サイトへ、ここで実際に攻撃したという意味ではありません。
Daybreak BlueとRedを知る
このエラーをきっかけに調べたのが、OpenAIのDaybreakです。
Daybreakは、承認された利用者がセキュリティの仕事を進めるためのアクセスの仕組みです。Blueでは、対応する汎用モデルで、防御目的の調査が拒否されにくくなります。脆弱性の調査、コードレビュー、検知の仕組み作り、修正の確認などが想定されています。Redは、高度な研究や攻撃の実証などに向けた、別途承認が必要な区分です。OpenAIの公式説明を読むと、Blueを取得すればRedも使える、という関係ではないことが分かります。
セキュリティ分野でいう「レッドチーム」は、攻撃者の視点で防御を試す側です。「ブルーチーム」は、予防や検知、事故が起きたときの調査・復旧などを担う側らしいです。
DaybreakのBlueとRedは、この役割のイメージにつながる名前ですが、サービス上はアクセス区分です。何か一つ攻撃を再現できたから、自分のアカウントがRedになった、という話ではありません。
また、通常のモデルでも、セキュリティについて相談したり、コードの問題を探したり、修正案を作ったりできます。Daybreakがないとセキュリティの話を一切できない、というわけでもありません。
私が調べた時点では、個人向けの申請経路はBlueで、Redをそこから直接申し込むことはできませんでした。そこで、まずBlueの取得を進めることにしました。申請条件や対象モデルは変わるので、試す際にはDaybreakの案内を確認してください。
ソフトウェアを試すために、物理キーを注文した
Blueの申請を進めていくと、アカウントのセキュリティ強化や、本人確認が必要になりました。その過程で用意したのが、YubiKeyです。
YubiKeyは、手元にある物理的なキーを使ってログインするための道具です。私はOpenAIの案内から、Yubicoの2本セットを購入しました。
商品代が68ドル、送料が10ドルで、合計78ドル。今回の円での支払いは約12,800円でした。
これは今回のハードウェアの購入費です。Daybreakのアクセス権や、診断に使うトークンを12,800円で購入したという意味ではありません。
AIでアプリを調べようと思ったら、途中で物理的な鍵の到着を待つことになりました。
届いたキーをMacに挿し、OpenAIの高度なアカウントセキュリティの設定画面に戻って登録します。
ここでも小さくつまずきました。ブラウザに「セキュリティキーをタップしてください」と表示されたのですが、最初は何をタップするのか分からなかったのです。画面ではなく、挿してあるYubiKey本体の接触部分に指を触れます。
キーを登録したら終わりでもありませんでした。2つ目のログイン方法や復旧手段を整え、Daybreakの本人確認では身分証を提示し、使用する物理キーを選びます。
このあたりは普段の「APIキーを発行して環境変数に入れる」準備とは違いました。モデルを使う本人の確認と、そのアカウントを守るための準備が必要だったわけです。
承認後には、モデル選択のところでDaybreakを有効にできるようになりました。
Shannonから使う認証も、改めて確認し、セキュリティ用途の事前確認が通りました。アプリの画面で設定が見えることに加えて、実際に使うツールから確認する必要がありました。
Blueを取れば、どのモデルでも同じというわけではない
もう一つ分かりにくかったのが、モデルごとの扱いです。
公式ページには「モデルによる拒否行動の減少」という表があります。
これは「脆弱性を何パーセント見つけられるか」という精度の表ではありません。どのモデルとアクセス区分の組み合わせで、セキュリティ用途の依頼に対する拒否が減るかを示しています。
今回使ったGPT-6 Solは、Blueの対象でした。一方、GPT-6.1 SolやGPT-6 Astraは、Blueだけでは拒否を減らす扱いにならず、Redの承認が必要と説明されています。この違いはAPI向けの公式ドキュメントにも書かれています。
つまり、モデル一覧に名前が出ていることと、そのモデルでDaybreakの扱いが有効になることは別です。私は今回、実行が確認できたGPT-6 Solを使いました。
昔作ったアプリを、壊しても戻せる状態で用意する
対象にしたのは、昔自分が趣味で作っていたWebアプリです。ユーザーがログインし、組織に所属してチャットなどを使う、SaaSに近い構成をしています。
今回は手元のMacで動かしました。診断対象のアプリは、PostgreSQL、API、フロントエンド、Nginxをローカルで起動しています。Shannon側は公式のDocker workerを使いました。
データは、e2eテスト用のものを使いました。e2eは、ログインから画面操作まで、ユーザーの操作に近い流れを通して確認するテストです。そのために用意してあったユーザーや組織、初期データを、今回の診断にも使いました。
これがかなり助かりました。何も入っていないDBでは、ログインできても、その先を十分に調べられません。組織やユーザーが登録され、画面に表示するデータもあることで、認証後の処理まで調査できます。
最初の診断では、攻撃実証を無効にした
Shannonには攻撃を実証する工程がありますが、今回は最初から全部を動かしたわけではありません。
使ったバージョンは3.4.0。設定はexploit: "false"で、攻撃実証の工程を無効にした分析用のプロファイルです。画面やAPIを調べ、コードを分析し、指摘候補をまとめるところまで進めました。
ユーザーの作成・削除やDBの初期化、有料のモデル呼び出し、外部の認証サービスの管理操作は、この診断では実行しない範囲にしました。
途中でエラーを挟みながらも、ソースコードの解析、分野別の分析、レポート生成が完了し、13件の指摘が出ました。
指摘を読むだけで終わらず、実際の挙動も確かめたかったので、指摘のうち2件について、小さな再現確認をしました。
ログインできる人が、ユーザー管理までできてしまう
ここからは、見つかった問題と、その再現結果を紹介します。
一つ目は、一般メンバーによるユーザーの作成・削除です。
ここで、「認証」と「認可」の違いが出てきます。
認証は「あなたは誰ですか」を確認すること。認可は「そのあなたに、この操作を許してよいですか」を確認することです。
ログイン済みのユーザーでも、管理者と一般メンバーでは、できてよい操作が違います。会社のメンバーだからといって、他の人のアカウントを勝手に作ったり消したりできてよいとは限りません。
今回のアプリでは、ユーザーの作成・削除に管理者チェックがありませんでした。隔離したテスト環境で確かめると、一般メンバーのままで作成処理が成功し、削除処理も成功しました。
二つ目。拒否された入力が、ログに丸ごと残る
もう一つは、入力エラーになったときのログです。
APIには「この項目は数値」「この項目は必須」といった入力のルールがあります。そこに合わないデータを送ると、サーバーはエラーを返します。
今回のアプリには、そのエラーを調べるために、受け取った本文全体をログへ書き出す処理がありました。
開発中なら、エラーになった入力を見たい気持ちは分かります。ただ、入力には個人情報やパスワードなどが入る可能性があります。入力を拒否できていても、その内容を別の場所に保存してしまうことがあるわけです。
後から見分けられる架空の目印を入れた不正なリクエストを、ローカルのAPIへ1回だけ送ります。
サーバーは422という入力エラーを返しました。そして、サーバーのログを見ると、本文全体と、その目印が残っていました。
"処理としては入力を拒否しているのに、入力された内容はログへ移っている。"
この挙動を、実際に確認できました。
「一部レッドができた」と感じたけれど
今回の2件は、怪しいコードを読むところから一歩進んで、攻撃者の立場なら何ができるかを限定した条件で確かめたものです。その意味で、「一部レッド寄りの確認までできた」という感覚があります。
ただ、取得したのはDaybreak Blueです。Daybreak Redのアクセス権を取得したり、Red向けのモデルを使ったりしたわけではありません。
Blueでどこまで攻撃を実証できるかは、今回の確認だけでは、まだ分かりません。
用意していてよかったもの
振り返って、役に立ったのは、隔離した環境、戻せるDB、テスト用のアカウント、そしてe2e用のデータでした。
特に、元に戻せることは大きいです。「一般メンバーで削除できるか」を確かめるときに、消して困るデータしかないと先へ進めません。使い捨てのDBなら、必要な状態を作って確認し、そのDBごと片付けられます。
vibeで調査を進めるためにも、試せる環境は先に作っておく。今回いちばん持ち帰りたいのは、そこかもしれません。
まとめ
YubiKeyを買い、本人確認をして、モデルへのアクセスを整え、昔のアプリを起動し直す。脆弱性診断の前にも、思ったよりやることがありました。
それでも、Shannonが出した指摘から、実際に確認できる問題を二つ選び、再現まで進められたのは収穫でした。
試せる環境を先に作っておくことの重要性も感じました。今度は、本番に近い構成でも同じように調べられるかを試してみたいです。
年に3回の悪夢が減ったらいいなと思います。
2) It reads your code like an attacker
Shannon is an AI pentester that studies your source code, finds the weak spots and tests real attacks on your web app. 49,000 stars.
KeygraphHQ/shannon
7 likes · 103 views
Setup This New Security Skill Before It's Too Late
Agent Engineer Accelerator -
switchdim.s.gy
I built a Next.js SaaS with 6 security bugs on purpose, three that classic scanners should catch and three of the kind AI coding agents actually write, then ran three rounds of tools against it: Gitleaks and Trivy, Claude Code's built-in /security-review, and Cloudflare's new open-source security-audit skill. Here's which tool caught which bug, what the Cloudflare skill cost to run, why scanners miss the bugs AI writes most, and three practical levels of security you can set up this week.
SOCIALS
X: x.com
LinkedIn: linkedin.com
Instagram: instagram.com
WORK & COLLABS
info@switchdimension.com
RESOURCES
Cloudflare security-audit skill: cloudflare/security-audit-skill
Build your own vulnerability harness (Cloudflare): blog.cloudflare.com
Claude Code Security Review: anthropics/claude-code-security-review
Gitleaks: gitleaks/gitleaks
Trivy: aquasecurity/trivy
Lovable CVE-2025-48757 write-up: mattpalmer.io
Next.js CVE-2025-29927: api.osv.dev
Shannon: KeygraphHQ/shannon
Trail of Bits skills: trailofbits/skills
OWASP ZAP: zaproxy/zaproxy
Mozilla Observatory: developer.mozilla.org
CHAPTERS
0:00 Intro
0:43 Why AI-Built Apps Break Differently
1:38 Meet Leakcast: 6 Planted Bugs
2:33 Round 1: The Free Scanners
3:35 Round 2: Claude Code's Built-In Review
4:30 Round 3: Cloudflare's Security Skill
6:37 The Control: One Plain Prompt
8:11 The Scoreboard
8:58 Three Levels of Pragmatic Security
10:48 Outro
#AISecurity #ClaudeCode #CursorAI #Cloudflare #NextJS #WebAppSecurity #VibeCoding #AppSec #AIDevelopment #AgentDevelopment #OWASP #CyberSecurity #Gitleaks
[ar] قم بإعداد مهارة الأمان الجديدة هذه قبل فوات الأوان
برنامج تسريع مهندسي الذكاء الاصطناعي -
switchdim.s.gy
قمتُ ببناء منصة برمجية كخدمة (SaaS) باستخدام Next.js، مع تضمين ست ثغرات أمنية عمدًا، ثلاث منها من النوع الذي تكتشفه برامج الفحص التقليدية، وثلاث أخرى من النوع الذي تُنشئه برامج الذكاء الاصطناعي فعليًا. ثم أجريتُ ثلاث جولات من الاختبارات باستخدام أدوات مختلفة: Gitleaks وTrivy، وأداة /security-review المدمجة في Claude Code، ومهارة التدقيق الأمني مفتوحة المصدر الجديدة من Cloudflare. إليكم تفاصيل كل أداة اكتشفت كل ثغرة، وتكلفة تشغيل مهارة Cloudflare، وأسباب عدم اكتشاف برامج الفحص التقليدية للثغرات التي يُنشئها الذكاء الاصطناعي في أغلب الأحيان، وثلاثة مستويات عملية للأمان يُمكنكم تطبيقها هذا الأسبوع.
مواقع التواصل الاجتماعي
X: x.com
LinkedIn: linkedin.com
Instagram: instagram.com
للعمل والتعاون
info@switchdimension.com
الموارد
Cloudflare: cloudflare/security-audit-skill
Cloudflare: blog.cloudflare.com
Cloudflare: anthropics/claude-code-security-review
Gitleaks: gitleaks/gitleaks
Trivy: aquasecurity/trivy شرح CVE-2025-48757: mattpalmer.io
CVE-2025-29927 في Next.js: api.osv.dev
شانون: KeygraphHQ/shannon
مهارات Trail of Bits: trailofbits/skills
OWASP ZAP: zaproxy/zaproxy
مرصد موزيلا: developer.mozilla.org
الفصول
0:00 مقدمة
0:43 لماذا تتعطل التطبيقات المبنية بالذكاء الاصطناعي بشكل مختلف؟
1:38 لقاء مع Leakcast: 6 ثغرات مزروعة
2:33 الجولة 3.99999 0.066667 ...
[bn] দেরি হওয়ার আগেই এই নতুন সিকিউরিটি স্কিল সেটআপ করুন
এজেন্ট ইঞ্জিনিয়ার অ্যাক্সিলারেটর -
switchdim.s.gy
আমি ইচ্ছাকৃতভাবে ৬টি সিকিউরিটি বাগ সহ একটি Next.js SaaS তৈরি করেছি—এর মধ্যে তিনটি এমন যা সাধারণ স্ক্যানারগুলোর ধরা উচিত এবং বাকি তিনটি এমন ধরনের যা এআই কোডিং এজেন্টরা আসলেই লেখে। এরপর আমি এর উপর তিন দফা টুল চালিয়েছি: Gitleaks ও Trivy, Claude Code-এর বিল্ট-ইন /security-review, এবং Cloudflare-এর নতুন ওপেন-সোর্স security-audit স্কিল। এখানে দেওয়া হলো কোন টুল কোন বাগটি ধরেছে, Cloudflare স্কিলটি চালাতে কত খরচ হয়েছে, এআই-এর লেখা বাগগুলো স্ক্যানাররা কেন ধরতে পারে না, এবং এই সপ্তাহে আপনি সেট আপ করতে পারেন এমন তিনটি কার্যকরী নিরাপত্তা স্তর।
সোশ্যাল মিডিয়া
X: x.com
লিঙ্কডইন: linkedin.com
ইনস্টাগ্রাম: instagram.com
কাজ ও যৌথ উদ্যোগ
info@switchdimension.com
রিসোর্স
ক্লাউডফ্লেয়ার সিকিউরিটি-অডিট স্কিল: cloudflare/security-audit-skill
নিজের ভালনারেবিলিটি হারনেস তৈরি করুন (ক্লাউডফ্লেয়ার): blog.cloudflare.com
ক্লড কোড সিকিউরিটি রিভিউ: anthropics/claude-code-security-review
গিটলিকস: gitleaks/gitleaks
ট্রিভি: aquasecurity/trivy
চমৎকার CVE-2025-48757 রাইট-আপ: mattpalmer.io
Next.js CVE-2025-29927: api.osv.dev
Shannon: KeygraphHQ/shannon
Trail of Bits skills: trailofbits/skills
OWASP ZAP: zaproxy/zaproxy
Mozilla Observatory: developer.mozilla.org
অধ্যায়সমূহ
০:০০ ভূমিকা
০:৪৩ কেন এআই-নির্মিত অ্যাপগুলো ভিন্নভাবে ভেঙে যায়
১:৩৮ লিককাস্টের সাথে পরিচিতি: ৬টি রোপিত বাগ
২:৩৩ পর্ব ১: বিনামূল্যের স্ক্যানারগুলো
৩:৩৫ পর্ব ২: ক্লড কোডের বিল্ট-ইন পর্যালোচনা
৪:৩০ রাউন্ড ৩: ক্লাউডফ্লেয়ারের নিরাপত্তা দক্ষতা
৬:৩৭ নিয়ন্ত্রণ: একটি সাধারণ প্রম্পট
৮:১১ স্কোরবোর্ড
৮:৫৮ বাস্তবসম্মত নিরাপত্তার তিনটি স্তর
১০:৪৮ উপসংহার
#AISecurity #ClaudeCode #CursorAI #Cloudflare #NextJS #WebAppSecurity #VibeCoding #AppSec #AIDevelopment #AgentDevelopment #OWASP #CyberSecurity #Gitleaks
[de-DE] Richte diese neue Sicherheitsfunktion ein, bevor es zu spät ist
Agent Engineer Accelerator –
switchdim.s.gy
Ich habe eine Next.js-SaaS-Anwendung mit absichtlich eingebauten sechs Sicherheitslücken entwickelt: drei, die von klassischen Scannern erkannt werden sollten, und drei, die von KI-gesteuerten Agenten tatsächlich erzeugt werden. Anschließend habe ich drei Testrunden mit verschiedenen Tools durchgeführt: Gitleaks und Trivy, die integrierte Sicherheitsprüfung von Claude Code sowie Cloudflares neue Open-Source-Sicherheitsaudit-Funktion. Hier erfahren Sie, welches Tool welche Sicherheitslücke gefunden hat, welche Kosten die Ausführung der Cloudflare-Funktion verursacht hat, warum Scanner die von KI-gesteuerten Agenten am häufigsten erzeugten Sicherheitslücken übersehen und welche drei praktischen Sicherheitsstufen Sie diese Woche einrichten können.
... SOCIAL MEDIA
X: x.com
LinkedIn: linkedin.com
Instagram: instagram.com
ARBEIT & KOOPERATIONEN
info@switchdimension.com
RESSOURCEN
Cloudflare-Sicherheitsaudit-Skill: cloudflare/security-audit-skill
Eigene Sicherheitslückenanalyse erstellen (Cloudflare): blog.cloudflare.com
Claude Code Security Review: anthropics/claude-code-security-review
GitLeaks: gitleaks/gitleaks
Trivy: aquasecurity/trivy
Lovable CVE-2025-48757-Beschreibung: mattpalmer.io
Next.js CVE-2025-29927: api.osv.dev
Shannon: KeygraphHQ/shannon
Trail of Bits Skills: trailofbits/skills
OWASP ZAP: zaproxy/zaproxy
Mozilla Observatory: developer.mozilla.org
KAPITEL
0:00 Einleitung
0:43 Warum KI-gestützte Apps anders funktionieren
1:38 Leakcast: 6 versteckte Sicherheitslücken
2:33 Runde 1: Die kostenlosen Scanner
3:35 Runde 2: Claude Codes integrierte Überprüfung
4:30 Runde 3: Cloudflares Sicherheitskompetenz
6:37 Die Kontrolle: Eine einfache Aufgabe
8:11 Die Punktetafel
8:58 Drei Stufen pragmatischer Sicherheit
10:48 Abspann
#KI-Sicherheit #ClaudeCode #CursorAI #Cloudflare #NextJS #WebAppSecurity #VibeCoding #AppSec #KI-Entwicklung #Agentenentwicklung #OWASP #CyberSecurity #GitLeaks
[es-US] Configura esta nueva habilidad de seguridad antes de que sea demasiado tarde.
Acelerador de Ingenieros de IA -
switchdim.s.gy
Desarrollé un SaaS con Next.js con intencionadamente 6 vulnerabilidades de seguridad: tres que los escáneres clásicos deberían detectar y tres del tipo que suelen escribir los agentes de codificación de IA. Luego, realicé tres pruebas con diferentes herramientas: Gitleaks y Trivy, la herramienta integrada /security-review de Claude Code y la nueva herramienta de código abierto security-audit de Cloudflare. Aquí te explico qué herramienta detectó cada vulnerabilidad, cuánto costó ejecutar la herramienta de Cloudflare, por qué los escáneres suelen pasar por alto las vulnerabilidades que escribe la IA y tres niveles prácticos de seguridad que puedes configurar esta semana.
REDES SOCIALES
X: x.com
LinkedIn: linkedin.com
Instagram: instagram.com
TRABAJO Y COLABORACIONES
info@switchdimension.com
RECURSOS
Habilidad de auditoría de seguridad de Cloudflare: cloudflare/security-audit-skill
Crea tu propio sistema de análisis de vulnerabilidades (Cloudflare): blog.cloudflare.com
Análisis de seguridad de Claude Code: anthropics/claude-code-security-review
Gitleaks: gitleaks/gitleaks
Trivy: aquasecurity/trivy
Análisis de Lovable sobre CVE-2025-48757: mattpalmer.io
Next.js CVE-2025-29927: api.osv.dev
Shannon: KeygraphHQ/shannon
Habilidades de Trail of Bits: trailofbits/skills
OWASP ZAP: zaproxy/zaproxy
Observatorio de Mozilla: developer.mozilla.org
CAPÍTULOS
0:00 Introducción
0:43 Por qué las apps con IA fallan de forma diferente
1:38 Presentamos Leakcast: 6 errores plantados
2:33 Ronda 1: Los escáneres gratuitos
3:35 Ronda 2: Análisis integrado de Claude Code
4:30 Ronda 3: La habilidad de seguridad de Cloudflare
6:37 El control: Un simple mensaje
8:11 El marcador
8:58 Tres niveles de seguridad pragmática
10:48 Despedida
#SeguridadIA #ClaudeCode #CursorAI #Cloudflare #NextJS #SeguridadAplicacionesWeb #VibeCoding #SeguridadAplicaciones #DesarrolloIA #DesarrolloDeAgentes #OWASP #Ciberseguridad #Gitleaks
[fr-FR] Installez ce nouvel outil de sécurité avant qu'il ne soit trop tard
Agent Engineer Accelerator -
switchdim.s.gy
J'ai développé une application SaaS Next.js avec six failles de sécurité intentionnelles : trois que les scanners classiques détectent et trois du type de celles que les agents de programmation IA écrivent réellement. J'ai ensuite effectué trois séries d'analyses avec différents outils : Gitleaks et Trivy, l'outil intégré `/security-review` de Claude Code et la nouvelle compétence open source `security-audit` de Cloudflare. Voici le résultat : quel outil a détecté quelle faille ? Quel est le coût d'exécution de la compétence Cloudflare ? Pourquoi les scanners passent-ils à côté des failles les plus courantes écrites par l'IA ? Et trois niveaux de sécurité pratiques que vous pouvez mettre en place dès cette semaine ?
RÉSEAUX SOCIAUX
X : x.com
LinkedIn : linkedin.com
Instagram : instagram.com
PROFESSIONNELLE ET COLLABORATIONS
info@switchdimension.com
RESSOURCES
Compétence d'audit de sécurité Cloudflare : cloudflare/security-audit-skill
Créer son propre outil d'analyse des vulnérabilités (Cloudflare) : blog.cloudflare.com
Claude Code Security Review : anthropics/claude-code-security-review
Gitleaks : gitleaks/gitleaks
Trivy : aquasecurity/trivy
Article détaillé sur la CVE-2025-48757 : mattpalmer.io
Next.js CVE-2025-29927 : api.osv.dev
Shannon : KeygraphHQ/shannon
Compétences Trail of Bits : trailofbits/skills
OWASP ZAP : zaproxy/zaproxy
Mozilla Observatory : developer.mozilla.org
CHAPITRES
0:00 Introduction
0:43 Pourquoi les applications conçues avec l’IA présentent des dysfonctionnements différents
1:38 Présentation de Leakcast : 6 failles de sécurité
2:33 Manche 1 : Les scanners gratuits
3:35 Manche 2 : Claude Revue intégrée du code
4:30 Manche 3 : Compétences de sécurité de Cloudflare
6:37 Le contrôle : Une simple invite
8:11 Le tableau des scores
8:58 Trois niveaux de sécurité pragmatique
10:48 Conclusion
#AISecurity #ClaudeCode #CursorAI #Cloudflare #NextJS #WebAppSecurity #VibeCoding #AppSec #AIDevelopment #AgentDevelopment #OWASP #CyberSecurity #Gitleaks
[hi] देर होने से पहले इस नई सुरक्षा सुविधा को स्थापित करें
एजेंट इंजीनियर एक्सेलेरेटर -
switchdim.s.gy
मैंने जानबूझकर 6 सुरक्षा बग्स के साथ एक Next.js SaaS बनाया, जिनमें से तीन ऐसे थे जिन्हें क्लासिक स्कैनर पकड़ लेते हैं और तीन ऐसे थे जिन्हें AI कोडिंग एजेंट लिखते हैं। फिर मैंने इस पर तीन तरह के टूल्स चलाए: Gitleaks और Trivy, Claude Code का बिल्ट-इन /security-review और Cloudflare का नया ओपन-सोर्स security-audit स्किल। यहां बताया गया है कि किस टूल ने कौन सा बग पकड़ा, Cloudflare स्किल को चलाने में कितना खर्च आया, स्कैनर AI द्वारा लिखे गए बग्स को क्यों नहीं पकड़ पाते, और सुरक्षा के तीन व्यावहारिक स्तर जिन्हें आप इस सप्ताह सेट अप कर सकते हैं।
सोशल मीडिया
X: x.com
लिंक्डइन: linkedin.com
इंस्टाग्राम: instagram.com
कार्य और सहयोग
info@switchdimension.com
संसाधन
Cloudflare सुरक्षा-ऑडिट कौशल: cloudflare/security-audit-skill
अपनी स्वयं की भेद्यता सुरक्षा प्रणाली बनाएं (Cloudflare): blog.cloudflare.com
Claude कोड सुरक्षा समीक्षा: anthropics/claude-code-security-review
Gitleaks: gitleaks/gitleaks
Trivy: aquasecurity/trivy
Lovable CVE-2025-48757 का विवरण: mattpalmer.io
Next.js CVE-2025-29927: api.osv.dev
Shannon: KeygraphHQ/shannon
Trail of Bits कौशल: trailofbits/skills
OWASP ZAP: zaproxy/zaproxy
Mozilla Observatory: developer.mozilla.org
अध्याय
0:00 परिचय
0:43 AI-निर्मित ऐप्स अलग-अलग तरीके से क्यों विफल होते हैं
1:38 Leakcast से मिलें: 6 जानबूझकर बनाए गए बग
2:33 पहला दौर: मुफ़्त स्कैनर
3:35 दूसरा दौर 2: क्लाउड कोड की अंतर्निहित समीक्षा
4:30 तीसरा दौर: क्लाउडफ्लेयर का सुरक्षा कौशल
6:37 नियंत्रण: एक सरल प्रॉम्प्ट
8:11 स्कोरबोर्ड
8:58 व्यावहारिक सुरक्षा के तीन स्तर
10:48 समापन
#AISecurity #ClaudeCode #CursorAI #Cloudflare #NextJS #WebAppSecurity #VibeCoding #AppSec #AIDevelopment #AgentDevelopment #OWASP #CyberSecurity #Gitleaks
[id] Pasang Skill Keamanan Baru Ini Sebelum Terlambat
Akselerator Insinyur Agen -
switchdim.s.gy
Saya membangun SaaS Next.js dengan 6 bug keamanan secara sengaja, tiga yang seharusnya ditangkap oleh pemindai klasik dan tiga jenis bug yang sebenarnya ditulis oleh agen pengkodean AI, kemudian menjalankan tiga putaran pengujian dengan berbagai alat: Gitleaks dan Trivy, /security-review bawaan Claude Code, dan skill audit keamanan sumber terbuka baru dari Cloudflare. Berikut adalah alat mana yang menangkap bug mana, berapa biaya menjalankan skill Cloudflare, mengapa pemindai melewatkan bug yang paling sering ditulis oleh AI, dan tiga tingkat keamanan praktis yang dapat Anda siapkan minggu ini.
MEDIA SOSIAL
X: x.com
LinkedIn: linkedin.com
Instagram: instagram.com
KERJA & KOLABORASI
info@switchdimension.com
SUMBER DAYA
Cloudflare security-audit skill: cloudflare/security-audit-skill
Buat sendiri alat pendeteksi kerentanan Anda (Cloudflare): blog.cloudflare.com
Claude Code Security Review: anthropics/claude-code-security-review
Gitleaks: gitleaks/gitleaks
Trivy: aquasecurity/trivy
Penjelasan CVE-2025-48757 yang menarik: mattpalmer.io
Next.js CVE-2025-29927: api.osv.dev
Shannon: KeygraphHQ/shannon
Keterampilan Trail of Bits: trailofbits/skills
OWASP ZAP: zaproxy/zaproxy
Mozilla Observatory: developer.mozilla.org
BAB
0:00 Pendahuluan
0:43 Mengapa Aplikasi Buatan AI Rusak Secara Berbeda
1:38 Mengenal Leakcast: 6 Bug yang Ditanam
2:33 Babak 1: Pemindai Gratis
3:35 Babak 2: Fitur Bawaan Claude Code Ulasan
4:30 Babak 3: Kemampuan Keamanan Cloudflare
6:37 Kontrol: Satu Perintah Sederhana
8:11 Papan Skor
8:58 Tiga Tingkat Keamanan Pragmatis
10:48 Penutup
#AISecurity #ClaudeCode #CursorAI #Cloudflare #NextJS #WebAppSecurity #VibeCoding #AppSec #AIDevelopment #AgentDevelopment #OWASP #CyberSecurity #Gitleaks
[it] Configura questa nuova competenza di sicurezza prima che sia troppo tardi
Acceleratore per ingegneri di agenti -
switchdim.s.gy
Ho creato un SaaS Next.js con 6 vulnerabilità di sicurezza, tre delle quali dovrebbero essere rilevate dagli scanner classici e tre del tipo che gli agenti di programmazione basati sull'IA scrivono effettivamente. Ho poi eseguito tre cicli di test con diversi strumenti: Gitleaks e Trivy, la funzionalità integrata /security-review di Claude Code e la nuova funzionalità open source di audit di sicurezza di Cloudflare. Ecco quale strumento ha rilevato quale vulnerabilità, quanto è costata l'esecuzione della funzionalità di Cloudflare, perché gli scanner non rilevano le vulnerabilità più comuni scritte dall'IA e tre livelli di sicurezza pratici che puoi impostare questa settimana.
SOCIAL
X: x.com
LinkedIn: linkedin.com
Instagram: instagram.com
LAVORO E COLLABORAZIONI
info@switchdimension.com
RISORSE
Skill di audit di sicurezza di Cloudflare: cloudflare/security-audit-skill
Crea il tuo strumento di analisi delle vulnerabilità (Cloudflare): blog.cloudflare.com
Analisi della sicurezza di Claude Code: anthropics/claude-code-security-review
Gitleaks: gitleaks/gitleaks
Trivy: aquasecurity/trivy
Articolo di Lovable sulla vulnerabilità CVE-2025-48757: Italiano: mattpalmer.io
Next.js CVE-2025-29927: api.osv.dev
Shannon: KeygraphHQ/shannon
Skill di Trail of Bits: trailofbits/skills
OWASP ZAP: zaproxy/zaproxy
Mozilla Observatory: developer.mozilla.org
CAPITOLI
0:00 Introduzione
0:43 Perché le app basate sull'IA si comportano in modo diverso
1:38 Presentazione di Leakcast: 6 bug nascosti
2:33 Round 1: Gli scanner gratuiti
3:35 Round 2: Revisione integrata di Claude Code
4:30 Round 3: La competenza di sicurezza di Cloudflare
6:37 Il controllo: un semplice prompt
8:11 Il punteggio
8:58 Tre livelli di sicurezza pragmatica
10:48 Conclusione
#AISecurity #ClaudeCode #CursorAI #Cloudflare #NextJS #WebAppSecurity #VibeCoding #AppSec #AIDevelopment #AgentDevelopment #OWASP #CyberSecurity #Gitleaks
[iw] הגדירו את כלי האבטחה החדש הזה לפני שיהיה מאוחר מדי
מאיץ מהנדסי סוכנים -
switchdim.s.gy
בניתי תוכנת SaaS של Next.js עם 6 באגים אבטחה בכוונה, שלושה שסורקים קלאסיים אמורים לתפוס ושלושה סוכני קידוד בינה מלאכותית מהסוג שבאמת כותבים, ואז הרצתי שלושה סבבים של כלים נגדם: Gitleaks ו-Trivy, /security-review המובנה של Claude Code, ומיומנות ביקורת האבטחה החדשה בקוד פתוח של Cloudflare. הנה איזה כלי תפס איזה באג, כמה עלה להפעיל את מיומנות Cloudflare, מדוע סורקים מפספסים את הבאגים שהבינה המלאכותית כותבת הכי הרבה, ושלוש רמות אבטחה מעשיות שתוכלו להגדיר השבוע.
מדיה חברתית
X: x.com
LinkedIn: linkedin.com
Instagram: instagram.com
עבודה ושיתופי פעולה
info@switchdimension.com
משאבים
כישור ביקורת אבטחה של Cloudflare: cloudflare/security-audit-skill
בנה רתמת פגיעויות משלך (Cloudflare): blog.cloudflare.com
סקירת אבטחה של Claude Code: anthropics/claude-code-security-review
Gitleaks: gitleaks/gitleaks
Trivy: aquasecurity/trivy
כתבה חביבה על CVE-2025-48757: mattpalmer.io
Next.js CVE-2025-29927: api.osv.dev
שאנון: KeygraphHQ/shannon
מיומנויות של Trail of Bits: trailofbits/skills
OWASP ZAP: zaproxy/zaproxy
Mozilla Observatory: developer.mozilla.org
פרקים
0:00 מבוא
0:43 מדוע אפליקציות שנבנו על ידי בינה מלאכותית מתקלקלות בצורה שונה
1:38 הכירו את Leakcast: 6 באגים שתלו
2:33 סיבוב 1: הסורקים החינמיים
3:35 סיבוב 2: התכונות המובנות של Claude Code סקירה
4:30 סיבוב 3: מיומנות האבטחה של Cloudflare
6:37 הבקרה: הנחיה פשוטה אחת
8:11 לוח התוצאות
8:58 שלוש רמות של אבטחה פרגמטית
10:48 סיום
#אבטחתAI #ClaudeCode #CursorAI #Cloudflare #NextJS #אבטחתאפליקציותWeb #VibeCoding #אבטחתאפליקציות #פיתוחAI #פיתוחסוכנים #OWASP #אבטחתסייבר #Gitleaks
[ja] 手遅れになる前にこの新しいセキュリティスキルを導入しよう
エージェントエンジニアアクセラレーター - switchdim.s.gy
私は意図的に6つのセキュリティバグを含むNext.js SaaSを構築しました。そのうち3つは従来のセキュリティスキャナーで検出できるはずのバグ、残りの3つはAIコーディングエージェントが実際に記述するタイプのバグです。そして、GitleaksとTrivy、Claude Codeの組み込み機能である/security-review、Cloudflareの新しいオープンソースのsecurity-auditスキルという3つのツールでテストを行いました。どのツールがどのバグを検出したか、Cloudflareスキルの実行コスト、AIが最も多く記述するバグをスキャナーが見逃す理由、そして今週中に設定できる3つの実用的なセキュリティレベルについて解説します。
ソーシャルメディア
X: x.com
LinkedIn: linkedin.com
Instagram: instagram.com
仕事とコラボレーション
info@switchdimension.com
リソース
Cloudflareセキュリティ監査スキル: cloudflare/security-audit-skill
独自の脆弱性ハーネスの構築 (Cloudflare): blog.cloudflare.com
Claude Code Security Review: anthropics/claude-code-security-review
Gitleaks: gitleaks/gitleaks
Trivy: aquasecurity/trivy
Lovable CVE-2025-48757 解説記事: mattpalmer.io
Next.js CVE-2025-29927: api.osv.dev
Shannon: KeygraphHQ/shannon
Trail of Bits スキル: trailofbits/skills
OWASP ZAP: zaproxy/zaproxy
Mozilla Observatory: developer.mozilla.org
チャプター
0:00 はじめに
0:43 AI で構築されたアプリがなぜ異なる不具合を起こすのか
1:38 Leakcast のご紹介: 6 つの仕掛けられたバグ
2:33 第 1 ラウンド: 無料スキャナー
3:35 第 2 ラウンド: Claude Code の組み込みレビュー
4:30 第3ラウンド：Cloudflareのセキュリティスキル
6:37 コントロール：シンプルなプロンプト
8:11 スコアボード
8:58 実用的なセキュリティの3つのレベル
10:48 エンディング
#AISecurity #ClaudeCode #CursorAI #Cloudflare #NextJS #WebAppSecurity #VibeCoding #AppSec #AIDevelopment #AgentDevelopment #OWASP #CyberSecurity #Gitleaks
[ko] 늦기 전에 이 새로운 보안 스킬을 설정하세요
에이전트 엔지니어 액셀러레이터 -
switchdim.s.gy
일부러 6개의 보안 버그를 포함한 Next.js SaaS를 구축했습니다. 이 중 3개는 기존 스캐너가 잡아낼 수 있는 버그이고, 나머지 3개는 AI 에이전트가 실제로 작성하는 유형의 버그입니다. 그런 다음 Gitleaks와 Trivy, Claude Code의 내장 보안 검토 도구, 그리고 Cloudflare의 새로운 오픈 소스 보안 감사 스킬 등 세 가지 도구를 사용하여 보안 검사를 실행했습니다. 각 도구가 어떤 버그를 잡아냈는지, Cloudflare 스킬 실행 비용은 얼마였는지, 스캐너가 AI가 작성하는 버그를 가장 많이 놓치는 이유는 무엇인지, 그리고 이번 주에 설정할 수 있는 세 가지 실용적인 보안 수준을 소개합니다.
소셜 미디어
X: x.com
LinkedIn: linkedin.com
Instagram: instagram.com
협업 및 협업
info@switchdimension.com
자료
Cloudflare 보안 감사 스킬: cloudflare/security-audit-skill
Cloudflare를 활용한 자체 취약점 탐지 도구 구축: blog.cloudflare.com
Claude Code 보안 리뷰: anthropics/claude-code-security-review
Gitleaks: gitleaks/gitleaks
Trivy: aquasecurity/trivy
CVE-2025-48757 관련 유용한 자료: mattpalmer.io
Next.js CVE-2025-29927: api.osv.dev
Shannon: KeygraphHQ/shannon
Trail of Bits 스킬: trailofbits/skills
OWASP ZAP: zaproxy/zaproxy
Mozilla Observatory: developer.mozilla.org
목차
0:00 소개
0:43 AI 기반 앱이 다르게 작동하는 이유
1:38 Leakcast 소개: 심어진 6가지 버그
2:33 1라운드: 무료 스캐너
3:35 2라운드: Claude Code의 내장 리뷰
4:30 3라운드: Cloudflare의 보안 스킬
6:37 컨트롤: 하나의 간단한 프롬프트
8:11 점수판
8:58 실용적인 보안의 세 가지 수준
10:48 마무리
#AISecurity #ClaudeCode #CursorAI #Cloudflare #NextJS #WebAppSecurity #VibeCoding #AppSec #AIDevelopment #AgentDevelopment #OWASP #CyberSecurity #Gitleaks
[ml] വൈകുന്നതിന് മുൻപ് ഈ പുതിയ സുരക്ഷാ സംവിധാനം സജ്ജമാക്കൂ
ഏജന്റ് എഞ്ചിനീയർ ആക്സിലറേറ്റർ -
switchdim.s.gy
6 സുരക്ഷാ ബഗുകൾ ഉപയോഗിച്ച് ഞാൻ ഒരു Next.js SaaS നിർമ്മിച്ചു, അതിൽ ക്ലാസിക് സ്കാനറുകൾ പിടിക്കേണ്ട മൂന്ന് ബഗുകളും യഥാർത്ഥത്തിൽ എഴുതുന്ന തരത്തിലുള്ള മൂന്ന് AI കോഡിംഗ് ഏജന്റുകളും ഉൾപ്പെടുന്നു, തുടർന്ന് അതിനെതിരെ മൂന്ന് റൗണ്ട് ഉപകരണങ്ങൾ പ്രവർത്തിപ്പിച്ചു: Gitleaks ഉം Trivy ഉം, Claude Code-ന്റെ ബിൽറ്റ്-ഇൻ /security-review, Cloudflare-ന്റെ പുതിയ ഓപ്പൺ-സോഴ്സ് സുരക്ഷാ-ഓഡിറ്റ് സ്കിൽ. ഏത് ടൂൾ ഏത് ബഗാണ് കണ്ടെത്തിയത്, Cloudflare സ്കിൽ പ്രവർത്തിപ്പിക്കാൻ എത്ര ചിലവാകും, AI ഏറ്റവും കൂടുതൽ എഴുതുന്ന ബഗുകൾ സ്കാനറുകൾ എന്തുകൊണ്ട് നഷ്ടപ്പെടുത്തുന്നു, ഈ ആഴ്ച നിങ്ങൾക്ക് സജ്ജമാക്കാൻ കഴിയുന്ന മൂന്ന് പ്രായോഗിക സുരക്ഷാ തലങ്ങൾ ഇതാ.
സോഷ്യൽസ്
X: x.com
ലിങ്ക്ഡ്ഇൻ: linkedin.com
ഇൻസ്റ്റാഗ്രാം: instagram.com
വർക്ക് & കോൾലാബ്സ്
info@switchdimension.com
റിസോഴ്സസ്
ക്ലൗഡ്ഫ്ലെയർ സെക്യൂരിറ്റി-ഓഡിറ്റ് സ്കിൽ: cloudflare/security-audit-skill
നിങ്ങളുടെ സ്വന്തം വൾനറബിലിറ്റി ഹാർനെസ് നിർമ്മിക്കുക (ക്ലൗഡ്ഫ്ലെയർ): blog.cloudflare.com
ക്ലോഡ് കോഡ് സെക്യൂരിറ്റി അവലോകനം: anthropics/claude-code-security-review
Gitleaks: gitleaks/gitleaks
Trivy: aquasecurity/trivy
ലവബിൾ CVE-2025-48757 എഴുത്ത്: mattpalmer.io
Next.js CVE-2025-29927: api.osv.dev
ഷാനൻ: KeygraphHQ/shannon
ബിറ്റ്സ് കഴിവുകളുടെ പാത: trailofbits/skills
OWASP ZAP: zaproxy/zaproxy
മോസില്ല ഒബ്സർവേറ്ററി: developer.mozilla.org
ചാപ്റ്ററുകൾ
0:00 ആമുഖം
0:43 AI-ബിൽറ്റ് ആപ്പുകൾ വ്യത്യസ്തമായി തകരാറിലാകുന്നത് എന്തുകൊണ്ട്
1:38 ലീക്ക്കാസ്റ്റിനെ കണ്ടുമുട്ടുക: 6 നട്ടുപിടിപ്പിച്ച ബഗുകൾ
2:33 റൗണ്ട് 1: സൗജന്യ സ്കാനറുകൾ
3:35 റൗണ്ട് 2: ക്ലോഡ് കോഡ്സ് ബിൽറ്റ്-ഇൻ അവലോകനം
4:30 മൂന്നാം റൗണ്ട്: ക്ലൗഡ്ഫ്ലെയറിന്റെ സുരക്ഷാ വൈദഗ്ദ്ധ്യം
6:37 നിയന്ത്രണം: ഒരു പ്ലെയിൻ പ്രോംപ്റ്റ്
8:11 സ്കോർബോർഡ്
8:58 പ്രായോഗിക സുരക്ഷയുടെ മൂന്ന് തലങ്ങൾ
10:48 ഔട്ട്റോ
#AISecurity #ClaudeCode #CursorAI #Cloudflare #NextJS #WebAppSecurity #VibeCoding #AppSec #AIDevelopment #AgentDevelopment #OWASP #CyberSecurity #Gitleaks
[nl-NL] Stel deze nieuwe beveiligingsvaardigheid in voordat het te laat is
Agent Engineer Accelerator -
switchdim.s.gy
Ik heb een Next.js SaaS-applicatie gebouwd met opzettelijk 6 beveiligingslekken: drie die klassieke scanners zouden moeten detecteren en drie van het type dat AI-codeeragenten daadwerkelijk schrijven. Vervolgens heb ik drie testrondes uitgevoerd met tools: GitLaks en Trivy, de ingebouwde /security-review van Claude Code en de nieuwe open-source security-audit skill van Cloudflare. Hieronder lees je welke tool welk lekken detecteerde, wat de kosten waren voor het uitvoeren van de Cloudflare skill, waarom scanners de meeste door AI geschreven lekken missen en drie praktische beveiligingsniveaus die je deze week nog kunt instellen.
SOCIALE MEDIA
X: x.com
LinkedIn: linkedin.com
Instagram: instagram.com
WERK & SAMENWERKINGEN
info@switchdimension.com
BRONNEN
Cloudflare security-audit skill: cloudflare/security-audit-skill
Bouw je eigen vulnerability harness (Cloudflare): blog.cloudflare.com
Claude Code Security Review: anthropics/claude-code-security-review
Gitleaks: gitleaks/gitleaks
Trivy: aquasecurity/trivy
Lovable CVE-2025-48757 write-up: mattpalmer.io
Next.js CVE-2025-29927: api.osv.dev
Shannon: KeygraphHQ/shannon
Trail of Bits skills: trailofbits/skills
OWASP ZAP: zaproxy/zaproxy
Mozilla Observatory: developer.mozilla.org
HOOFDSTUKKEN
0:00 Intro
0:43 Waarom door AI gebouwde apps anders crashen
1:38 Maak kennis met Leakcast: 6 geplante bugs
2:33 Ronde 1: De gratis scanners
3:35 Ronde 2: Claude Code's Ingebouwde review
4:30 Ronde 3: Cloudflare's beveiligingsvaardigheden
6:37 De controle: één simpele prompt
8:11 Het scorebord
8:58 Drie niveaus van pragmatische beveiliging
10:48 Outro
#AISecurity #ClaudeCode #CursorAI #Cloudflare #NextJS #WebAppSecurity #VibeCoding #AppSec #AIDevelopment #AgentDevelopment #OWASP #CyberSecurity #Gitleaks
[pa] ਦੇਰ ਹੋਣ ਤੋਂ ਪਹਿਲਾਂ ਇਸ ਨਵੀਂ ਸੁਰੱਖਿਆ ਸਕਿੱਲ ਨੂੰ ਸੈੱਟਅੱਪ ਕਰੋ
ਏਜੰਟ ਇੰਜੀਨੀਅਰ ਐਕਸਲੇਟਰ -
switchdim.s.gy
ਮੈਂ ਜਾਣਬੁੱਝ ਕੇ 6 ਸੁਰੱਖਿਆ ਬੱਗਾਂ ਨਾਲ ਇੱਕ Next.js SaaS ਬਣਾਇਆ, ਤਿੰਨ ਉਹ ਜੋ ਕਲਾਸਿਕ ਸਕੈਨਰਾਂ ਨੂੰ ਫੜਨੇ ਚਾਹੀਦੇ ਹਨ ਅਤੇ ਤਿੰਨ ਅਜਿਹੇ AI ਕੋਡਿੰਗ ਏਜੰਟ ਅਸਲ ਵਿੱਚ ਲਿਖਦੇ ਹਨ, ਫਿਰ ਇਸਦੇ ਵਿਰੁੱਧ ਤਿੰਨ ਦੌਰ ਦੇ ਟੂਲ ਚਲਾਏ: Gitleaks ਅਤੇ Trivy, Claude Code ਦਾ ਬਿਲਟ-ਇਨ /security-review, ਅਤੇ Cloudflare ਦਾ ਨਵਾਂ ਓਪਨ-ਸੋਰਸ ਸੁਰੱਖਿਆ-ਆਡਿਟ ਹੁਨਰ। ਇੱਥੇ ਦੱਸਿਆ ਗਿਆ ਹੈ ਕਿ ਕਿਹੜੇ ਟੂਲ ਨੇ ਕਿਹੜਾ ਬੱਗ ਫੜਿਆ, Cloudflare ਹੁਨਰ ਨੂੰ ਚਲਾਉਣ ਲਈ ਕਿੰਨੀ ਕੀਮਤ ਹੈ, ਸਕੈਨਰ AI ਦੁਆਰਾ ਸਭ ਤੋਂ ਵੱਧ ਲਿਖਣ ਵਾਲੇ ਬੱਗਾਂ ਨੂੰ ਕਿਉਂ ਖੁੰਝਾਉਂਦੇ ਹਨ, ਅਤੇ ਸੁਰੱਖਿਆ ਦੇ ਤਿੰਨ ਵਿਹਾਰਕ ਪੱਧਰ ਜੋ ਤੁਸੀਂ ਇਸ ਹਫ਼ਤੇ ਸੈੱਟ ਕਰ ਸਕਦੇ ਹੋ।
ਸਮਾਜਿਕ
X: x.com
ਲਿੰਕਡਇਨ: linkedin.com
ਇੰਸਟਾਗ੍ਰਾਮ: instagram.com
ਕੰਮ ਅਤੇ ਸਹਿਯੋਗ
info@switchdimension.com
ਸਰੋਤ
Cloudflare ਸੁਰੱਖਿਆ-ਆਡਿਟ ਹੁਨਰ: cloudflare/security-audit-skill
ਆਪਣੀ ਖੁਦ ਦੀ ਕਮਜ਼ੋਰੀ ਹਾਰਨੈੱਸ ਬਣਾਓ (Cloudflare): blog.cloudflare.com
ਕਲਾਉਡ ਕੋਡ ਸੁਰੱਖਿਆ ਸਮੀਖਿਆ: anthropics/claude-code-security-review
Gitleaks: gitleaks/gitleaks
ਟ੍ਰਾਈਵੀ: aquasecurity/trivy
Lovable CVE-2025-48757 ਲਿਖਣਾ: mattpalmer.io
Next.js CVE-2025-29927: api.osv.dev
ਸ਼ੈਨਨ: KeygraphHQ/shannon
ਬਿਟਸ ਹੁਨਰਾਂ ਦਾ ਟ੍ਰੇਲ: trailofbits/skills
OWASP ZAP: zaproxy/zaproxy
ਮੋਜ਼ੀਲਾ ਆਬਜ਼ਰਵੇਟਰੀ: developer.mozilla.org
ਅਧਿਆਇ
0:00 ਜਾਣ-ਪਛਾਣ
0:43 AI-ਬਿਲਟ ਐਪਸ ਵੱਖਰੇ ਢੰਗ ਨਾਲ ਕਿਉਂ ਟੁੱਟਦੇ ਹਨ
1:38 ਲੀਕਕਾਸਟ ਨੂੰ ਮਿਲੋ: 6 ਲਗਾਏ ਗਏ ਬੱਗ
2:33 ਰਾਊਂਡ 1: ਮੁਫ਼ਤ ਸਕੈਨਰ
3:35 ਰਾਊਂਡ 2: ਕਲਾਉਡ ਕੋਡ ਦਾ ਬਿਲਟ-ਇਨ ਸਮੀਖਿਆ
4:30 ਰਾਊਂਡ 3: ਕਲਾਉਡਫਲੇਅਰ ਦਾ ਸੁਰੱਖਿਆ ਹੁਨਰ
6:37 ਕੰਟਰੋਲ: ਇੱਕ ਸਾਦਾ ਪ੍ਰੋਂਪਟ
8:11 ਸਕੋਰਬੋਰਡ
8:58 ਵਿਹਾਰਕ ਸੁਰੱਖਿਆ ਦੇ ਤਿੰਨ ਪੱਧਰ
10:48 ਆਊਟਰੋ
#AISecurity #ClaudeCode #CursorAI #Cloudflare #NextJS #WebAppSecurity #VibeCoding #AppSec #AIDevelopment #AgentDevelopment #OWASP #CyberSecurity #Gitleaks
[pl] Wdróż tę nową umiejętność zabezpieczającą, zanim będzie za późno
Agent Engineer Accelerator -
switchdim.s.gy
Stworzyłem oprogramowanie SaaS Next.js z 6 celowo wykrytymi błędami bezpieczeństwa, z czego 3 powinny być wychwytywane przez klasyczne skanery, a 3 to błędy w kodzie AI, które faktycznie tworzą agenci. Następnie uruchomiłem trzy rundy testów narzędzi: Gitleaks i Trivy, wbudowane narzędzie /security-review Claude'a Code'a oraz nową, otwartą umiejętność audytu bezpieczeństwa Cloudflare. Oto, które narzędzie wykryło który błąd, ile kosztuje uruchomienie umiejętności Cloudflare, dlaczego skanery pomijają błędy najczęściej wykryte przez AI, oraz trzy praktyczne poziomy bezpieczeństwa, które możesz skonfigurować w tym tygodniu.
MEDIA SPOŁECZNOŚCIOWE
X: x.com
LinkedIn: linkedin.com
Instagram: instagram.com
PRACA I WSPÓŁPRACA
info@switchdimension.com
ZASOBY
Umiejętności audytu bezpieczeństwa Cloudflare: cloudflare/security-audit-skill
Zbuduj własną uprząż do wykrywania luk w zabezpieczeniach (Cloudflare): blog.cloudflare.com
Przegląd zabezpieczeń Claude Code: anthropics/claude-code-security-review
Gitleaks: gitleaks/gitleaks
Trivy: aquasecurity/trivy
Uroczy Opis CVE-2025-48757: mattpalmer.io
Next.js CVE-2025-29927: api.osv.dev
Shannon: KeygraphHQ/shannon
Trail of Bits Skills: trailofbits/skills
OWASP ZAP: zaproxy/zaproxy
Mozilla Observatory: developer.mozilla.org
ROZDZIAŁY
0:00 Wprowadzenie
0:43 Dlaczego aplikacje tworzone przez AI psują się inaczej
1:38 Poznaj Leakcast: 6 Planted Błędy
2:33 Runda 1: Darmowe skanery
3:35 Runda 2: Wbudowana recenzja Claude Code'a
4:30 Runda 3: Umiejętność bezpieczeństwa Cloudflare
6:37 Kontrola: Jeden prosty komunikat
8:11 Tablica wyników
8:58 Trzy poziomy pragmatycznego bezpieczeństwa
10:48 Outro
#AISecurity #ClaudeCode #CursorAI #Cloudflare #NextJS #WebAppSecurity #VibeCoding #AppSec #AIDevelopment #AgentDevelopment #OWASP #Cyberbezpieczeństwo #Gitleaks
[pt-BR] Configure essa nova habilidade de segurança antes que seja tarde demais
Acelerador de Engenheiros de Agentes -
switchdim.s.gy
Criei um SaaS Next.js com 6 bugs de segurança propositalmente: três que scanners clássicos deveriam detectar e três do tipo que agentes de IA realmente escrevem. Em seguida, executei três rodadas de testes com ferramentas: Gitleaks e Trivy, a ferramenta integrada /security-review do Claude Code e a nova skill de código aberto security-audit da Cloudflare. Aqui está o que você encontra sobre qual ferramenta detectou cada bug, o custo de execução da skill da Cloudflare, por que os scanners não detectam os bugs mais comuns escritos por IA e três níveis práticos de segurança que você pode configurar esta semana.
REDES SOCIAIS
X: x.com
LinkedIn: linkedin.com
Instagram: instagram.com
TRABALHO E COLABORAÇÕES
info@switchdimension.com
RECURSOS
Habilidade de auditoria de segurança da Cloudflare: cloudflare/security-audit-skill
Crie sua própria ferramenta de análise de vulnerabilidades (Cloudflare): blog.cloudflare.com
Análise de segurança do Claude Code: anthropics/claude-code-security-review
Gitleaks: gitleaks/gitleaks
Trivy: aquasecurity/trivy
Análise da vulnerabilidade CVE-2025-48757: mattpalmer.io
Next.js CVE-2025-29927: api.osv.dev
Shannon: KeygraphHQ/shannon
Skills do Trail of Bits: trailofbits/skills
OWASP ZAP: zaproxy/zaproxy
Mozilla Observatory: developer.mozilla.org
CAPÍTULOS
0:00 Introdução
0:43 Por que os aplicativos criados com IA quebram de forma diferente
1:38 Conheça o Leakcast: 6 bugs plantados
2:33 Rodada 1: Os scanners gratuitos
3:35 Rodada 2: Claude Revisão integrada do Code
4:30 Rodada 3: Habilidade de segurança da Cloudflare
6:37 O controle: um prompt simples
8:11 O placar
8:58 Três níveis de segurança pragmática
10:48 Encerramento
#AISecurity #ClaudeCode #CursorAI #Cloudflare #NextJS #WebAppSecurity #VibeCoding #AppSec #AIDevelopment #AgentDevelopment #OWASP #CyberSecurity #Gitleaks
[ru] Настройте этот новый навык безопасности, пока не поздно!
Акселератор для инженеров-агентов -
switchdim.s.gy
Я создал SaaS-приложение на Next.js с шестью уязвимостями безопасности, три из которых должны обнаруживать классические сканеры, а три — те, которые действительно создают агенты ИИ. Затем я протестировал его с помощью трех инструментов: Gitleaks и Trivy, встроенного инструмента /security-review от Claude Code и нового навыка аудита безопасности с открытым исходным кодом от Cloudflare. Вот какой инструмент обнаружил какую уязвимость, сколько стоит запуск навыка Cloudflare, почему сканеры пропускают наиболее часто создаваемые ИИ уязвимости, и три практических уровня безопасности, которые вы можете настроить на этой неделе.
СОЦИАЛЬНЫЕ СЕТИ
X: x.com
LinkedIn: linkedin.com
Instagram: instagram.com
РАБОТА И СОТРУДНИЧЕСТВО
info@switchdimension.com
РЕСУРСЫ
Навык аудита безопасности Cloudflare: cloudflare/security-audit-skill
Создайте свой собственный инструмент для проверки уязвимостей (Cloudflare): blog.cloudflare.com
Обзор безопасности кода Клода: anthropics/claude-code-security-review
Gitleaks: gitleaks/gitleaks
Trivy: aquasecurity/trivy
Любимая CVE-2025-48757 Статья: mattpalmer.io
CVE-2025-29927 для Next.js: api.osv.dev
Шеннон: KeygraphHQ/shannon
Навыки Trail of Bits: trailofbits/skills
OWASP ZAP: zaproxy/zaproxy
Mozilla Observatory: developer.mozilla.org
РАЗДЕЛЫ
0:00 Вступление
0:43 Почему приложения, созданные с помощью ИИ, ломаются по-разному
1:38 Знакомьтесь, Leakcast: 6 внедренных ошибок
2:33 Раунд 1: Бесплатный Сканеры
3:35 Раунд 2: Обзор встроенных функций Claude Code
4:30 Раунд 3: Навыки безопасности Cloudflare
6:37 Управление: Один простой запрос
8:11 Таблица результатов
8:58 Три уровня прагматичной безопасности
10:48 Заключение
#AISecurity #ClaudeCode #CursorAI #Cloudflare #NextJS #WebAppSecurity #VibeCoding #AppSec #AIDevelopment #AgentDevelopment #OWASP #CyberSecurity #Gitleaks
[ta] தாமதமாகும் முன் இந்த புதிய பாதுகாப்புத் திறனை அமைத்துவிடுங்கள்
ஏஜென்ட் இன்ஜினியர் ஆக்சிலரேட்டர் -
switchdim.s.gy
நான் வேண்டுமென்றே 6 பாதுகாப்புப் பிழைகளுடன் ஒரு Next.js SaaS-ஐ உருவாக்கினேன்; அவற்றில் மூன்று, வழக்கமான ஸ்கேனர்களால் கண்டறியக்கூடியவை, மற்ற மூன்று, AI கோடிங் ஏஜென்ட்கள் உண்மையில் எழுதும் வகையைச் சேர்ந்தவை. பின்னர், அதன் மீது மூன்று சுற்றுகளாக கருவிகளை இயக்கினேன்: Gitleaks மற்றும் Trivy, Claude Code-இன் உள்ளமைக்கப்பட்ட /security-review, மற்றும் Cloudflare-இன் புதிய ஓப்பன்-சோர்ஸ் செக்யூரிட்டி-ஆடிட் ஸ்கில். எந்தக் கருவி எந்தப் பிழையைக் கண்டறிந்தது, Cloudflare ஸ்கில்லை இயக்க எவ்வளவு செலவானது, AI எழுதும் பிழைகளை ஸ்கேனர்கள் ஏன் தவறவிடுகின்றன, மற்றும் இந்த வாரம் நீங்கள் அமைக்கக்கூடிய மூன்று நடைமுறைப் பாதுகாப்பு நிலைகள் ஆகியவை இங்கே கொடுக்கப்பட்டுள்ளன.
சமூக வலைத்தளங்கள்
X: x.com
LinkedIn: linkedin.com
Instagram: instagram.com
பணிகள் மற்றும் கூட்டுப்பணிகள்
info@switchdimension.com
வளங்கள்
Cloudflare security-audit skill: cloudflare/security-audit-skill
உங்களுக்கென சொந்த பாதிப்புத் தடுப்பு அமைப்பை உருவாக்குங்கள் (Cloudflare): blog.cloudflare.com
Claude Code Security Review: anthropics/claude-code-security-review
Gitleaks: gitleaks/gitleaks
Trivy: aquasecurity/trivy
Lovable CVE-2025-48757 பற்றிய விளக்கம்: mattpalmer.io
Next.js CVE-2025-29927: api.osv.dev
ஷானன்: KeygraphHQ/shannon
Trail of Bits skills: trailofbits/skills
OWASP ZAP: zaproxy/zaproxy
மொஸில்லா அப்சர்வேட்டரி: developer.mozilla.org
அத்தியாயங்கள்
0:00 அறிமுகம்
0:43 செயற்கை நுண்ணறிவால் உருவாக்கப்பட்ட செயலிகள் ஏன் வித்தியாசமாகச் செயலிழக்கின்றன
1:38 லீக்காஸ்ட்டைச் சந்தியுங்கள்: 6 பதிக்கப்பட்ட பிழைகள்
2:33 சுற்று 1: இலவச ஸ்கேனர்கள்
3:35 சுற்று 2: கிளாட் கோடின் உள்ளமைக்கப்பட்ட மதிப்பாய்வு
4:30 சுற்று 3: கிளவுட்ஃபிளேரின் பாதுகாப்புத் திறன்
6:37 கட்டுப்பாடு: ஒரு எளிய கட்டளை
8:11 மதிப்பெண் பலகை
8:58 நடைமுறைப் பாதுகாப்பின் மூன்று நிலைகள்
10:48 முடிவுரை
#AISecurity #ClaudeCode #CursorAI #Cloudflare #NextJS #WebAppSecurity #VibeCoding #AppSec #AIDevelopment #AgentDevelopment #OWASP #CyberSecurity #Gitleaks
[te] ఆలస్యం కాకముందే ఈ కొత్త భద్రతా నైపుణ్యాన్ని ఏర్పాటు చేసుకోండి
ఏజెంట్ ఇంజనీర్ యాక్సిలరేటర్ - switchdim.s.gy
నేను ఉద్దేశపూర్వకంగా 6 సెక్యూరిటీ బగ్స్తో ఒక Next.js SaaSను రూపొందించాను. వాటిలో మూడు క్లాసిక్ స్కానర్లు పట్టుకోగలిగేవి కాగా, మిగిలిన మూడు AI కోడింగ్ ఏజెంట్లు వాస్తవంగా రాసే రకానికి చెందినవి. ఆ తర్వాత దానిపై మూడు రౌండ్ల టూల్స్ను రన్ చేశాను: Gitleaks మరియు Trivy, Claude Code యొక్క అంతర్నిర్మిత /security-review, మరియు Cloudflare యొక్క కొత్త ఓపెన్-సోర్స్ సెక్యూరిటీ-ఆడిట్ స్కిల్. ఏ టూల్ ఏ బగ్ను పట్టుకుంది, Cloudflare స్కిల్ను రన్ చేయడానికి ఎంత ఖర్చయింది, AI ఎక్కువగా రాసే బగ్స్ను స్కానర్లు ఎందుకు మిస్ అవుతాయి, మరియు ఈ వారంలో మీరు సెటప్ చేసుకోగల మూడు ఆచరణాత్మక భద్రతా స్థాయిల వివరాలు ఇక్కడ ఉన్నాయి.
సోషల్ మీడియా
X: x.com
లింక్డ్ఇన్: linkedin.com
ఇన్స్టాగ్రామ్: instagram.com
పని & సహకారాలు
info@switchdimension.com
వనరులు
క్లౌడ్ఫ్లేర్ సెక్యూరిటీ-ఆడిట్ స్కిల్: cloudflare/security-audit-skill
మీ స్వంత వల్నరబిలిటీ హార్నెస్ను రూపొందించుకోండి (క్లౌడ్ఫ్లేర్): blog.cloudflare.com
క్లాడ్ కోడ్ సెక్యూరిటీ రివ్యూ: anthropics/claude-code-security-review
గిట్లీక్స్: gitleaks/gitleaks
ట్రివీ: aquasecurity/trivy
లవబుల్ CVE-2025-48757 రైట్-అప్: mattpalmer.io
Next.js CVE-2025-29927: api.osv.dev
షానన్: KeygraphHQ/shannon
ట్రైల్ ఆఫ్ బిట్స్ నైపుణ్యాలు: trailofbits/skills
OWASP ZAP: zaproxy/zaproxy
మొజిల్లా అబ్జర్వేటరీ: developer.mozilla.org
అధ్యాయాలు
0:00 పరిచయం
0:43 AI-నిర్మిత యాప్లు ఎందుకు విభిన్నంగా విఫలమవుతాయి
1:38 లీక్కాస్ట్ను కలవండి: 6 ప్లాంటెడ్ బగ్స్
2:33 రౌండ్ 1: ఉచిత స్కానర్లు
3:35 రౌండ్ 2: క్లాడ్ కోడ్ యొక్క అంతర్నిర్మిత సమీక్ష
4:30 రౌండ్ 3: క్లౌడ్ఫ్లేర్ యొక్క భద్రతా నైపుణ్యం
6:37 నియంత్రణ: ఒక సాధారణ ప్రాంప్ట్
8:11 స్కోర్బోర్డ్
8:58 ఆచరణాత్మక భద్రత యొక్క మూడు స్థాయిలు
10:48 ముగింపు
#AISecurity #ClaudeCode #CursorAI #Cloudflare #NextJS #WebAppSecurity #VibeCoding #AppSec #AIDevelopment #AgentDevelopment #OWASP #CyberSecurity #Gitleaks
[uk] Налаштуйте цю нову функцію безпеки, поки не стало надто пізно
Прискорювач роботи з інженерами-агентами -
switchdim.s.gy
Я спеціально створив Next.js SaaS з 6 помилками безпеки: трьома, які повинні виявляти класичні сканери, і трьома, які насправді пишуть агенти кодування на основі штучного інтелекту, а потім провів проти нього три раунди інструментів: Gitleaks та Trivy, вбудований /security-review від Claude Code та новий навик Cloudflare з відкритим кодом для аудиту безпеки. Ось який інструмент виявив яку помилку, скільки коштувало запустити навик Cloudflare, чому сканери найчастіше пропускають помилки, які пише штучний інтелект, і три практичні рівні безпеки, які ви можете налаштувати цього тижня.
СОЦІАЛЬНІ МЕРЕЖІ
X: x.com
LinkedIn: linkedin.com
Instagram: instagram.com
РОБОТА ТА СПІВПРАЦЯ
info@switchdimension.com
РЕСУРСИ
Навички аудиту безпеки Cloudflare: cloudflare/security-audit-skill
Створіть власний інструмент для виявлення вразливостей (Cloudflare): blog.cloudflare.com
Огляд безпеки Claude Code: anthropics/claude-code-security-review
Gitleaks: gitleaks/gitleaks
Trivy: aquasecurity/trivy
Чудовий опис CVE-2025-48757: mattpalmer.io
Next.js CVE-2025-29927: api.osv.dev
Шеннон: KeygraphHQ/shannon
Навички Trail of Bits: trailofbits/skills
OWASP ZAP: zaproxy/zaproxy
Mozilla Observatory: developer.mozilla.org
РОЗДІЛИ
0:00 Вступ
0:43 Чому програми, створені на основі штучного інтелекту, ламаються по-різному
1:38 Знайомство з Leakcast: 6 підмічених помилок
2:33 Раунд 1: Безкоштовні сканери
3:35 Раунд 2: Вбудовані функції Клода Кода Огляд
4:30 Раунд 3: Навички безпеки Cloudflare
6:37 Контроль: Одна проста підказка
8:11 Табло результатів
8:58 Три рівні прагматичної безпеки
10:48 Заключна частина
#AISecurity #ClaudeCode #CursorAI #Cloudflare #NextJS #WebAppSecurity #VibeCoding #AppSec #AIDevelopment #AgentDevelopment #OWASP #CyberSecurity #Gitleaks
893 likes · 20 comments · 62,622 views
Mentions
Shannon: an autonomous, AI pentester for web applications and APIs (50k stars) What it does All text below is quoted directly from the project README. >Shannon is an AI pentester for web applications and APIs. It analyzes your source code, identifies attack vectors, and executes real exploits to prove vulnerabilities before they reach production. Key Capabilities: - No exploit, no report: Reports only vulnerabilities confirmed with a reproducible proof of concept, reducing speculative scanner noise. - Advanced code analysis: Maps architecture, trust boundaries, interfaces, data flows, and critical assets before sending credible attack paths to live pentesting agents. - Autonomous execution: Runs reconnaissance, analysis, exploitation, and reporting from a single command. - Authenticated testing: Supports credentials, login flows, TOTP, email authentication, focus areas, and rules of engagement through configuration. - OWASP-focused coverage: Tests for exploitable injection, XSS, SSRF, broken authentication, and broken authorization. - Native CI/CD integrations: Runs through the official GitHub Action or GitLab CI/CD component, preserves artifacts, publishes findings, and gates releases on proven vulnerabilities. - Provider agnostic and BYOK: Supports Anthropic, OpenAI, xAI, AWS Bedrock, compatible APIs and LLM gateways, and local models served through Ollama, vLLM, or LM Studio. - Private by design: Runs in your infrastructure, stores results locally, and sends model requests directly to your chosen endpoint. A local endpoint keeps data inside your environment. >npx @keygraph/shannon@latest Repository KeygraphHQ/shannon Repository stats |Metric|Value| |:-|:-| |Stars|50,250| |Forks|5.8k| |Last release|v3.5.0 (2026-10-27)| |Languages|TypeScript 95.2%, Handlebars 3.8%, Other 1%| |Contributors|8| |AI contributor accounts (Claude / Codex / Cursor / Copilot)|@claude (43 commits)| |AI co-authored commits|Claude: 43| Main contributor |Field|Value| |:-|:-| |GitHub|@ezl-keygraph| |Commits to this repo|101 (top contributor)| |Company / Location|Keygraph / India| |Followers|63| ────────────────────────────── 📌 How many great GitHub repos have you discovered and completely forgotten about? Don't let another useful tool disappear into your Reddit feed. Get the community's best repos, organized by category, plus key takeaways from real developer discussions, delivered to your inbox twice a week. 📬 Never lose track of great repos again. Subscribe free.
自律型AIペネトレーションテスターShannonを自分のPCで動かそうとして、深いところで2回連続つまずいた話 今日のネタ元 GitHub Trending(TypeScript)に挙がっていた以下のOSSを検証した。 KeygraphHQ/shannon(Shannon Lite、AGPL-3.0) Webアプリ/APIのソースコードを解析して攻撃経路を特定し、ブラウザ自動操作とCLIツールで実際に攻撃を再現した上で、動作するPoCが取れた脆弱性のみを報告する自律型AIペネトレーションテストツールである。 READMEの冒頭には「Shannon actively executes exploits. Run it only against applications and environments you own or have explicit written authorization to test.」(所有している、または明示的な許可を得た環境にのみ実行すること)と明記されている。 今回の検証は、この注意書きに従い、自分でローカルに立てたOWASP Juice Shop(意図的に脆弱なデモアプリ)のみを対象にした。 第三者が運用するサイト・サービスには一切向けていない。 ライセンスはAGPL-3.0で、リポジトリ直下にLICENSEとして全文が収録されていることを確認した。 つまずきの連続だった、という結論を先に書く 結論から書くと、今回はShannonが実際に脆弱性を検出・PoCを取るところまでは到達できなかった。 代わりに、環境構築からツール本体のバグまで、複数のつまずきを具体的に踏み抜くことになった。 一つ一つは小さいが、同じ環境でShannonを試そうとする人なら高い確率で遭遇するはずなので、失敗の経緯をそのまま記録する。 つまずき1: localhostではなくhost.docker.internalが必要 Shannon自体がDockerコンテナの中で動く設計になっている。 筆者は最初、ローカルで起動したJuice Shopに対して以下のように実行した。 docker run -d --rm --name juice-shop -p 3000:3000 bkimminich/juice-shop npx @keygraph/shannon@latest start -u localhost -r ./juice-shop 結果、スキャンが開始する前に失敗した。 ▲ The scan could not start The target could not be reached. Reference code: InvalidTargetError コンテナの中から見たlocalhostはコンテナ自身を指すため、ホスト上で動いているJuice Shopにはそもそも到達できない。 Shannon公式のdocs/platforms.mdには「Docker containers cannot reach localhost on your host machine. Use host.docker.internal」と明記されており、ターゲットURLをhttp://host.docker.internal:3000に変えたところ解決した。 これはドキュメントを先に読んでいれば防げた失敗である。 つまずき2: WSL2のsnap版Dockerでは起動すらできなかった 次に、WSL2上のsnap版Docker(Docker version 29.0.1)でstartコマンドを実行したところ、2回とも同一のエラーで失敗した。 docker: Error response from daemon: failed to create task for container: failed to create shim task: OCI runtime create failed: runc create failed: unable to start container process: error during container init: error mounting ".../.shannon/.playwright" to rootfs at "/repos/juice-shop/.playwright": create mountpoint for /repos/juice-shop/.playwright mount: make mountpoint "/repos/juice-shop/.playwright": mkdirat .../rootfs/overlayfs/.../repos/juice-shop/.playwright: read-only file system Shannonは対象リポジトリを読み取り専用でコンテナにマウントし、その内部のサブパス(.playwright、ブラウザ操作キャッシュ用)にさらに別のマウントを重ねようとしている。 read-onlyなマウントの内側に新しいマウントポイントを作成できないというDocker/runcの制約と衝突していると考えられる。 Shannonの過去issueに完全一致する報告は見つからなかったが、近い性質の既知issue(#490)があり、「リポジトリをread-onlyでマウントした上で、その内部に書き込む・マウントを重ねる」という設計自体に起因する問題と考えている。 Shannon公式はWindows環境では「Docker Desktop + WSL2バックエンド」を推奨している。 実際にDocker Desktopへ切り替えたところ、この問題は再発しなくなった。 WSL2のsnap版Docker単体では、少なくとも今回のバージョンの組み合わせでShannonを動かせなかった。 つまずき3: pre-reconは完璧に成功したのに、reconの最後で2回落ちた Docker Desktopに切り替え、Anthropic(claude-sonnet-5)を使ってようやくスキャンが走り出した。 最初のフェーズ「pre-recon」は12分30秒・$4.93で完全に成功し、Juice Shopのアーキテクチャ・認証機構・XSS/SSRFの危険な箇所などを詳細にまとめた分析結果が生成された。 筆者が手で読んでも的確な内容で、ここまでは非常に期待が持てる結果だった。 ところが続く「recon」フェーズが、ブラウザ探索(playwright-cli)を使い始めた直後(3ターン・8.2秒)に、以下のエラーで落ちた。 [recon] [ERROR] AGENT_EXECUTION_FAILED (unknown, attempt 1, 8.2s, 3 turns) Scan FAILED Error: The agent could not complete its work. Shannonには-w <workspace名>で中断したスキャンを完了済みフェーズをスキップして再開できるresume機能があり(docs/workspaces.md)、これを使って同じworkspaceで再実行した。 npx @keygraph/shannon@latest start -u host.docker.internal -r ./juice-shop \ -w host-docker-internal_shannon-1793365664702 今度はpre-reconが正しくスキップされ、reconフェーズは18分1秒・32ターンをかけてネットワークマップ・ロール構造・権限昇格の候補箇所まで深く分析を終えた。 しかし、最後の成果物発行ツール呼び出し(set_injection_sources)で、再び同一のエラーコード(AGENT_EXECUTION_FAILED)で失敗した。 {"agent":"pi-executor","error":{"code":"AGENT_EXECUTION_FAILED", "message":"The agent could not complete its work."}, "duration":1081586,"turns":32, "provider":{"provider":"anthropic","model":"claude-sonnet-5","stopReason":"error", "toolCallsInFlight":["set_injection_sources"]}} 2回ともreconフェーズの終盤でAnthropic API自体がstopReason: errorを返している。 Shannonの過去issue(#428、親エージェントが子タスクセッション終了後に失敗する既知のリソースライフサイクルバグ)と症状の雰囲気は近いが、そちらはv2.5.2で修正済みとされており、エラーメッセージの文面も異なる。 今回使った最新版(v3.5.0)にも、reconフェーズ終盤に限って再現する何らかのバグが残っていると考えられる。 ここまでで実際に課金された金額は、pre-recon $4.93 + recon失敗2回分の合計$6.11で、$11.04だった。 実際の脆弱性検証・エクスプロイトフェーズ(injection-vuln以降)には一度も到達できなかった。 つまずき4: 無料のOllamaに切り替えたら、今度は別の形で全滅した Anthropic APIのクレジット残量が少なくなってきたため、Shannonが公式にサポートしているOllama連携(docs/ai-providers.md)に切り替えることにした。 { "providers": { "ollama": { "baseUrl": "host.docker.internal", "api": "openai-completions", "apiKey": "ollama", "models": [{ "id": "qwen2.5:14b-instruct" }] } } } まずqwen2.5:14b-instructを指定したところ、起動直後(273ミリ秒、0エージェント実行、$0)でAgentExecutionErrorになった。 原因を調べると、Docker Desktopのコンテナから見たhost.docker.internal:11434は、筆者がモデルを入れていたWSL2側のOllamaではなく、別途インストールされていたWindowsネイティブ版Ollamaを指していた。 こちらにはqwen2.5:14b-instructが入っておらず、より小さいqwen2.5:7bしかなかった。 これはWSL2とDocker Desktopのネットワーキングの違いによるもので、Shannon自体の問題ではない。 モデルを実際に到達可能なqwen2.5:7bに変えて再実行したところ、pre-recon・reconの両フェーズは数秒・$0.0000で「完了」した(Anthropic版が12分・$4.93かけていたことを考えると、明らかに浅い処理になっていたと考えられる)。 しかし続く実際の脆弱性検証エージェント5種(XSS・Injection・Authentication・Authorization・SSRF)が、全てOUTPUT_VALIDATION_FAILEDで失敗した。 [AGENT] authz-vuln: Failed (OUTPUT_VALIDATION_FAILED) (12.1s, $0.0000) [AGENT] xss-vuln: Failed (OUTPUT_VALIDATION_FAILED) (11.6s, $0.0000) [AGENT] injection-vuln: Failed (OUTPUT_VALIDATION_FAILED) (12.6s, $0.0000) [AGENT] auth-vuln: Failed (OUTPUT_VALIDATION_FAILED) (3.5s, $0.0000) [AGENT] ssrf-vuln: Failed (OUTPUT_VALIDATION_FAILED) (963ms, $0.0000) Shannon公式ドキュメントは「ツール呼び出し・出力スキーマへの指示追従が弱いモデルを使うと、ペンテストの質が大きく落ちる」と明記して注意喚起している。 今回、比較的小型なローカルモデル(7B)では、Shannonが要求する構造化出力への追従が実際に破綻することを、全エージェント種が一律同じエラーコードで失敗するという具体的な形で確認できた。 ドキュメントの注意書きが絵空事ではないことを、身をもって再現した形である。 筆者の所感 正直なところ、今日はShannonの実力(実際にPoCの取れる脆弱性を検出する様子)を見せる記事を書くつもりだった。 pre-reconフェーズの分析結果を読んだときは、ソースコードの構造からJWTの実装やSQLインジェクションの危険箇所まで的確に拾い上げていて、相当に期待させる出来だった。 だからこそ、その直後のreconフェーズで2回連続して同じような形で落ちたときは拍子抜けした。 ただ、落ち着いて振り返ると、今回つまずいた箇所はどれも「読者が同じ環境を試せば高確率で踏む」具体的な内容だった。 ドキュメントのターゲットURLの書き方、WSL2でのDocker構成の選び方、途中から再開する方法、無料のローカルモデルに切り替えたときの落とし穴。 実際にPoCが取れる様子を見せられなかった代わりに、Shannonを自分の環境で動かそうとする人が最初にぶつかるであろう壁を、先に全部踏んでおけたとも言える。 限界(正直に書く) 実際の脆弱性スキャン・エクスプロイト結果(Shannonの最終的な価値)までは、Anthropic・Ollamaいずれの経路でも到達できなかった。 reconフェーズ終盤のAGENT_EXECUTION_FAILEDは2回の再現にとどまり、Shannon側へのissue報告は行っていない。根本原因の特定までは至っていない。 Ollama版の検証はqwen2.5:7bという比較的小型のモデル1種類のみで試した。より大きなローカルモデルであれば結果が変わる可能性がある。 検証はWindows 11 + WSL2 + Docker Desktopという特定の環境構成で行った。純粋なLinux環境やmacOSでは、今回報告した一部の問題(snap Docker特有のマウントエラー、Windowsネイティブ版Ollamaとの混線)は発生しない可能性が高い。 詳細な実行ログ・コスト内訳・エラーメッセージの全文はexperiments/day-032/results.mdに記録してある。
Shannon: AI pentester that proves web app vulnerabilities Shannon is an AI pentester for web applications and APIs. It analyzes your source code, identifies attack vectors, and executes real exploits to prove vulnerabilities before they reach production. KeygraphHQ/shannon on GitHub: KeygraphHQ/shannon This week's round-up: youtube.com Trending today. This video describes what the project says it does — it is not a review or a recommendation. ▶ More like this: youtube.com Subscribe for a new open source project every day. #Shorts #GitHub #OpenSource #typescript #shannon #pentester #applications #apis #analyzes #code #identifies #attack #coding #programming #developer [ar] Shannon: مختبر اختراق ذكاء اصطناعي يثبت ثغرات تطبيقات الويب شانون هو برنامج ذكاء اصطناعي لاختبار اختراق تطبيقات الويب وواجهات برمجة التطبيقات (APIs). يحلل البرنامج شفرة المصدر، ويحدد نقاط الضعف، وينفذ عمليات استغلال حقيقية لإثبات الثغرات الأمنية قبل وصولها إلى بيئة الإنتاج. KeygraphHQ/shannon على GitHub: KeygraphHQ/shannon ملخص هذا الأسبوع: youtube.com الأكثر رواجًا اليوم. يشرح هذا الفيديو وظائف المشروع المعلنة، وهو ليس مراجعة أو توصية. ▶ المزيد من هذا النوع: youtube.com اشترك لتصلك مشاريع مفتوحة المصدر جديدة يوميًا. مقاطع قصيرة جيت هاب مفتوح المصدر تايب سكريبت شانون مختبر اختراق تطبيقات واجهات برمجة التطبيقات يحلل التعليمات البرمجية يحدد هجوم ترميز برمجة مطور [bn] Shannon: এআই পেন্টেস্টার যা ওয়েব অ্যাপের দুর্বলতা প্রমাণ করে শ্যানন হলো ওয়েব অ্যাপ্লিকেশন এবং এপিআই-এর জন্য একটি এআই পেন্টেস্টিং টুল। এটি আপনার সোর্স কোড বিশ্লেষণ করে, আক্রমণের সম্ভাব্য পথ (অ্যাটাক ভেক্টর) শনাক্ত করে এবং প্রোডাকশনে পৌঁছানোর আগেই দুর্বলতাগুলো প্রমাণ করার জন্য আসল এক্সপ্লয়েট চালায়। গিটহাবে KeygraphHQ/shannon: KeygraphHQ/shannon এই সপ্তাহের সারসংক্ষেপ: youtube.com আজকের ট্রেন্ডিং। এই ভিডিওটি প্রজেক্টটি যা করে বলে দাবি করে, তা-ই বর্ণনা করে — এটি কোনো রিভিউ বা সুপারিশ নয়। ▶ এই ধরনের আরও ভিডিও: youtube.com প্রতিদিন একটি নতুন ওপেন সোর্স প্রজেক্টের জন্য সাবস্ক্রাইব করুন। #Shorts #GitHub #OpenSource #typescript #shannon #pentester #applications #apis #analyzes #code #identifies #attack #coding #programming #developer [de-DE] Shannon: KI-Pentester, der Webanwendungs-Schwachstellen nachweist Shannon ist ein KI-Pentester für Webanwendungen und APIs. Er analysiert Ihren Quellcode, identifiziert Angriffsvektoren und führt echte Exploits aus, um Schwachstellen aufzudecken, bevor diese in der Produktion zum Tragen kommen. KeygraphHQ/shannon auf GitHub: KeygraphHQ/shannon Wochenrückblick: youtube.com Heute im Trend. Dieses Video beschreibt die Funktionsweise des Projekts – es ist keine Rezension oder Empfehlung. ▶ Ähnliche Videos: youtube.com Abonnieren Sie unseren Kanal für täglich neue Open-Source-Projekte. #Shorts #GitHub #OpenSource #TypeScript #Shannon #Pentester #Anwendungen #APIs #analysiert #Code #identifiziert #Angriffe #Programmierung #Entwicklung [es-US] Shannon: IA de pentesting que prueba vulnerabilidades en aplicaciones web Shannon es una herramienta de penetración de IA para aplicaciones web y API. Analiza el código fuente, identifica vectores de ataque y ejecuta exploits reales para demostrar vulnerabilidades antes de que lleguen a producción. KeygraphHQ/shannon en GitHub: KeygraphHQ/shannon Resumen de esta semana: youtube.com Tendencias del día. Este video describe lo que el proyecto afirma hacer; no es una reseña ni una recomendación. ▶ Más contenido similar: youtube.com Suscríbete para descubrir un nuevo proyecto de código abierto cada día. #Shorts #GitHub #OpenSource #typescript #shannon #pentester #applications #apis #analyzes #code #identifies #attack #coding #programming #developer [fr-FR] Shannon : l'IA spécialisée en pentest qui prouve les vulnérabilités des applications web Shannon est un outil de test d'intrusion IA pour applications web et API. Il analyse votre code source, identifie les vecteurs d'attaque et exécute de véritables exploits pour prouver les vulnérabilités avant leur mise en production. KeygraphHQ/shannon sur GitHub : KeygraphHQ/shannon Récapitulatif de la semaine : youtube.com À la une aujourd'hui. Cette vidéo décrit les fonctionnalités du projet ; il ne s'agit ni d'un test, ni d'une recommandation. ▶ Plus de contenu similaire : youtube.com Abonnez-vous pour découvrir un nouveau projet open source chaque jour. #Shorts #GitHub #OpenSource #typescript #shannon #pentester #applications #apis #analyzes #code #identifies #attack #coding #programming #developer [hi] Shannon: वेब ऐप की खामियों को साबित करने वाला AI पेंटेस्टर शैनन वेब एप्लिकेशन और API के लिए एक AI पेंटेस्टर है। यह आपके सोर्स कोड का विश्लेषण करता है, हमले के संभावित तरीकों की पहचान करता है और वास्तविक हमलों को अंजाम देकर कमजोरियों को साबित करता है, इससे पहले कि वे प्रोडक्शन में पहुंचें। KeygraphHQ/shannon GitHub पर: KeygraphHQ/shannon इस सप्ताह का सारांश: youtube.com आज का ट्रेंडिंग वीडियो। यह वीडियो बताता है कि यह प्रोजेक्ट क्या करता है - यह कोई समीक्षा या अनुशंसा नहीं है। ▶ इस तरह के और वीडियो: youtube.com हर दिन एक नए ओपन सोर्स प्रोजेक्ट के लिए सब्सक्राइब करें। #शॉर्ट्स #गिटहब #ओपनसोर्स #टाइपस्क्रिप्ट #शैनन #पेंटेस्टर #एप्लिकेशन #एपीआई #विश्लेषण #कोड #पहचान #हमला #कोडिंग #प्रोग्रामिंग #डेवलपर [id] Shannon: Pentester AI yang membuktikan kerentanan aplikasi web. Shannon adalah pentester AI untuk aplikasi web dan API. Ia menganalisis kode sumber Anda, mengidentifikasi vektor serangan, dan mengeksekusi eksploitasi nyata untuk membuktikan kerentanan sebelum mencapai produksi. KeygraphHQ/shannon di GitHub: KeygraphHQ/shannon Ringkasan minggu ini: youtube.com Sedang tren hari ini. Video ini menjelaskan apa yang dikatakan proyek ini — ini bukan ulasan atau rekomendasi. ▶ Lebih banyak seperti ini: youtube.com Berlangganan untuk proyek open source baru setiap hari. #Shorts #GitHub #OpenSource #typescript #shannon #pentester #applications #apis #analyzes #code #identifies #attack #coding #programming #developer [it] Shannon: L'IA pentester che dimostra le vulnerabilità delle web app Shannon è un penetration tester basato sull'intelligenza artificiale per applicazioni web e API. Analizza il codice sorgente, identifica i vettori di attacco ed esegue exploit reali per dimostrare le vulnerabilità prima che raggiungano l'ambiente di produzione. KeygraphHQ/shannon su GitHub: KeygraphHQ/shannon Riepilogo della settimana: youtube.com Tendenze di oggi. Questo video descrive le funzionalità dichiarate del progetto e non costituisce una recensione o una raccomandazione. ▶ Altri video simili: youtube.com Iscriviti per scoprire ogni giorno un nuovo progetto open source. #Shorts #GitHub #OpenSource #typescript #shannon #pentester #applications #apis #analyzes #code #identifies #attack #coding #programming #developer [iw] Shannon: בודק חדירות מבוסס בינה מלאכותית שמוכיח פגיעויות באפליקציות ווב Shannon הוא כלי חדירה מבוסס בינה מלאכותית עבור יישומי אינטרנט וממשקי API. הוא מנתח את קוד המקור שלך, מזהה וקטורי תקיפה ומבצע פרצות אמיתיות כדי להוכיח פגיעויות לפני שהן מגיעות לתהליך הייצור. KeygraphHQ/shannon ב-GitHub: KeygraphHQ/shannon סיכום השבוע: youtube.com בטרנדים היום. סרטון זה מתאר מה הפרויקט אומר שהוא עושה - זו אינה סקירה או המלצה. ▶ עוד כמו זה: youtube.com הירשמו לפרויקט קוד פתוח חדש בכל יום. #Shorts #GitHub #OpenSource #typescript #shannon #pentester #applications #apis #analyzes #code #identifies #attack #coding #programming #developer [ja] Shannon：Webアプリの脆弱性を実証するAIペネトレーションテスター Shannonは、WebアプリケーションとAPI向けのAIペネトレーションテスターです。ソースコードを分析し、攻撃経路を特定し、実際の攻撃を実行して、脆弱性が本番環境に導入される前に検証します。 GitHubのKeygraphHQ/shannon：KeygraphHQ/shannon 今週のまとめ：youtube.com 本日のトレンド。この動画は、プロジェクトの説明内容を紹介するものであり、レビューや推奨ではありません。 ▶ 類似動画：youtube.com 毎日新しいオープンソースプロジェクトを紹介するチャンネル登録はこちら。 #Shorts #GitHub #OpenSource #typescript #shannon #pentester #applications #apis #analyzes #code #identifies #attack #coding #programming #developer [ko] Shannon: 웹 애플리케이션 취약점을 입증하는 AI 모의 해킹 도구 Shannon은 웹 애플리케이션과 API를 위한 AI 침투 테스트 도구입니다. 소스 코드를 분석하고 공격 벡터를 식별하며, 실제 익스플로잇을 실행하여 취약점이 실제 서비스에 적용되기 전에 검증합니다. KeygraphHQ/shannon GitHub: KeygraphHQ/shannon 이번 주 요약: youtube.com 오늘의 인기 영상입니다. 이 영상은 프로젝트의 기능을 설명하는 영상이며, 리뷰나 추천 영상이 아닙니다. ▶ 더 많은 영상 보기: youtube.com 매일 새로운 오픈 소스 프로젝트를 받아보시려면 구독하세요. #Shorts #GitHub #OpenSource #typescript #shannon #pentester #applications #apis #analyzes #code #identifies #attack #coding #programming #developer [ml] ഷാനൻ: വെബ് ആപ്പ് വൾനറബിലിറ്റികൾ തെളിയിക്കുന്ന AI പെൻടെസ്റ്റർ വെബ് ആപ്ലിക്കേഷനുകൾക്കും API-കൾക്കും വേണ്ടിയുള്ള ഒരു AI പെന്റസ്റ്ററാണ് ഷാനൻ. ഇത് നിങ്ങളുടെ സോഴ്സ് കോഡ് വിശകലനം ചെയ്യുന്നു, ആക്രമണ വെക്റ്ററുകളെ തിരിച്ചറിയുന്നു, ഉൽപ്പാദനത്തിൽ എത്തുന്നതിനുമുമ്പ് ദുർബലതകൾ തെളിയിക്കാൻ യഥാർത്ഥ ചൂഷണങ്ങൾ നടത്തുന്നു. GitHub-ലെ KeygraphHQ/shannon: KeygraphHQ/shannon ഈ ആഴ്ചയിലെ സംഗ്രഹം: youtube.com ഇന്ന് ട്രെൻഡുചെയ്യുന്നു. പ്രോജക്റ്റ് എന്താണ് പറയുന്നതെന്ന് ഈ വീഡിയോ വിവരിക്കുന്നു - ഇത് ഒരു അവലോകനമോ ശുപാർശയോ അല്ല. ▶ ഇതുപോലുള്ള കൂടുതൽ: youtube.com എല്ലാ ദിവസവും ഒരു പുതിയ ഓപ്പൺ സോഴ്സ് പ്രോജക്റ്റിനായി സബ്സ്ക്രൈബുചെയ്യുക. #ഷോർട്ട്സ് #GitHub #OpenSource #typescript #shannon #pentester #applications #apis #analyzes #code #identifies #attack #coding #programming #developer [nl-NL] Shannon: AI-pentester die kwetsbaarheden in webapplicaties bewijst Shannon is een AI-pentester voor webapplicaties en API's. Het analyseert je broncode, identificeert aanvalsvectoren en voert echte exploits uit om kwetsbaarheden aan te tonen voordat ze in productie worden genomen. KeygraphHQ/shannon op GitHub: KeygraphHQ/shannon Het overzicht van deze week: youtube.com Trending vandaag. Deze video beschrijft wat het project zegt te doen — het is geen recensie of aanbeveling. ▶ Meer zoals dit: youtube.com Abonneer je voor een nieuw open source-project elke dag. #Shorts #GitHub #OpenSource #typescript #shannon #pentester #applications #apis #analyzes #code #identifies #attack #coding #programming #developer [pl] Shannon: AI pentester, który weryfikuje podatności aplikacji internetowych Shannon to pentester sztucznej inteligencji (AI) dla aplikacji internetowych i interfejsów API. Analizuje kod źródłowy, identyfikuje wektory ataków i uruchamia rzeczywiste exploity, aby udowodnić luki w zabezpieczeniach, zanim trafią one do produkcji. KeygraphHQ/shannon na GitHubie: KeygraphHQ/shannon Podsumowanie tego tygodnia: youtube.com Popularne dzisiaj. Ten film opisuje, co projekt obiecuje — nie jest to recenzja ani rekomendacja. ▶ Więcej podobnych: youtube.com Subskrybuj, aby codziennie otrzymywać informacje o nowym projekcie open source. #Shorts #GitHub #OpenSource #typescript #shannon #pentester #aplikacje #apis #analizuje #kod #identyfikuje #atak #kodowanie #programowanie #programista [pt-BR] Shannon: IA de pentest que comprova vulnerabilidades em aplicações web Shannon é um pentester de IA para aplicações web e APIs. Ele analisa seu código-fonte, identifica vetores de ataque e executa exploits reais para comprovar vulnerabilidades antes que elas cheguem à produção. KeygraphHQ/shannon no GitHub: KeygraphHQ/shannon Resumo desta semana: youtube.com Em alta hoje. Este vídeo descreve o que o projeto faz — não é uma avaliação ou recomendação. ▶ Mais vídeos como este: youtube.com Inscreva-se para receber um novo projeto de código aberto todos os dias. #Shorts #GitHub #OpenSource #typescript #shannon #pentester #applications #apis #analyzes #code #identifies #attack #coding #programming #developer [ru] Shannon: AI-пентестер, доказывающий уязвимости веб-приложений Shannon — это инструмент для тестирования веб-приложений и API с использованием искусственного интеллекта. Он анализирует исходный код, выявляет векторы атак и выполняет реальные эксплойты для подтверждения уязвимостей до того, как они попадут в продакшн. KeygraphHQ/shannon на GitHub: KeygraphHQ/shannon Обзор этой недели: youtube.com Тренды сегодня. В этом видео описывается, что, по заявлению проекта, он делает — это не обзор и не рекомендация. ▶ Больше подобного: youtube.com Подписывайтесь, чтобы получать информацию о новых проектах с открытым исходным кодом каждый день. #Короткие_ролики #GitHub #Открытый_исходный_код #typescript #shannon #pentester #applications #apis #анализирует #код #выявляет #атаку #кодирование #программирование #разработчик [ta] Shannon: இணையதள செயலியின் பாதிப்புகளை நிரூபிக்கும் AI பென்டெஸ்டர் ஷானன் என்பது வலைப் பயன்பாடுகள் மற்றும் API-களுக்கான ஒரு AI பென்டெஸ்டர் ஆகும். இது உங்கள் மூலக் குறியீட்டைப் பகுப்பாய்வு செய்து, தாக்குதல் வழிகளை அடையாளம் கண்டு, உற்பத்தி நிலையை அடையும் முன்பே பாதிப்புகளை நிரூபிக்க உண்மையான சுரண்டல்களைச் செயல்படுத்துகிறது. GitHub-இல் KeygraphHQ/shannon: KeygraphHQ/shannon இந்த வாரத் தொகுப்பு: youtube.com இன்று பிரபலமாக உள்ளது. இந்த வீடியோ, இந்தத் திட்டம் என்ன செய்வதாகக் கூறுகிறதோ அதை விவரிக்கிறது — இது ஒரு விமர்சனமோ அல்லது பரிந்துரையோ அல்ல. ▶ இது போன்ற மேலும் பல: youtube.com ஒவ்வொரு நாளும் ஒரு புதிய ஓப்பன் சோர்ஸ் திட்டத்திற்காக சப்ஸ்கிரைப் செய்யுங்கள். #Shorts #GitHub #OpenSource #typescript #shannon #pentester #applications #apis #analyzes #code #identifies #attack #coding #programming #developer [te] Shannon: వెబ్ యాప్ లోపాలను నిరూపించే AI పెన్-టెస్టర్ షానన్ అనేది వెబ్ అప్లికేషన్లు మరియు APIల కోసం ఒక AI పెంటెస్టర్. ఇది మీ సోర్స్ కోడ్ను విశ్లేషిస్తుంది, దాడి చేసే మార్గాలను (ఎటాక్ వెక్టర్స్) గుర్తిస్తుంది, మరియు లోపాలు ప్రొడక్షన్కు చేరకముందే వాటిని నిరూపించడానికి నిజమైన ఎక్స్ప్లాయిట్లను అమలు చేస్తుంది. GitHubలో KeygraphHQ/shannon: KeygraphHQ/shannon ఈ వారం రౌండప్: youtube.com ఈరోజు ట్రెండింగ్. ఈ వీడియో, ఈ ప్రాజెక్ట్ ఏమి చేస్తుందో వివరిస్తుంది — ఇది సమీక్ష లేదా సిఫార్సు కాదు. ▶ ఇలాంటివి మరిన్ని: youtube.com ప్రతిరోజూ ఒక కొత్త ఓపెన్ సోర్స్ ప్రాజెక్ట్ కోసం సబ్స్క్రయిబ్ చేసుకోండి. #Shorts #GitHub #OpenSource #typescript #shannon #pentester #applications #apis #analyzes #code #identifies #attack #coding #programming #developer [uk] Shannon: AI-пентестер, що доводить вразливості вебдодатків Shannon — це пентестер штучного інтелекту для веб-додатків та API. Він аналізує ваш вихідний код, визначає вектори атак та виконує реальні експлойти, щоб довести вразливості, перш ніж вони потраплять у продакшн. KeygraphHQ/shannon на GitHub: KeygraphHQ/shannon Огляд цього тижня: youtube.com Тренди сьогодні. Це відео описує, що саме робить проект — це не огляд і не рекомендація. ▶ Більше схожих відео: youtube.com Підпишіться на новий проект з відкритим кодом щодня. #Шорти #GitHub #ВідкритийВихіднийКод #typescript #shannon #пентестер #додатки #apis #аналізує #код #ідентифікує #атака #кодування #програмування #розробник
Seriously slick architecture by @KeygraphHQ—using AI to analyze source code and actually execute real exploits before production is the ultimate security workflow. 🤯 🔗 项目地址：KeygraphHQ/shannon
Aquí os dejo el repo: KeygraphHQ/shannon
AIエージェントは攻撃工程のどこを担うのか：12製品・2連携構成の比較 はじめに 脆弱性を調べるAI、検証するAI、結果を整理するAI。こうした役割を組み合わせたセキュリティツールが公開され、診断の効率化にも、攻撃者による悪用にも使われています。 ただし、「自律型」「マルチエージェント」「スウォーム」という説明だけでは、その製品がどこまで動くのかは分かりません。複数の担当が順番に動く場合もあれば、同時に動く場合もあります。製品の標準機能と、利用者がツールを追加した構成も異なります。 本稿で考える問いは、「攻撃工程のどこを、どの構成でAIに任せ、人間はどこで判断しているのか」です。 12製品と2つの連携構成を、次の3つの観点で整理します。 観点 確認すること 攻撃工程 偵察、侵入、侵入後の活動など、どの作業を扱うか 運用構成 誰が判断し、担当をどう分け、結果をどう共有するか 証拠と結果 仕様に書かれているのか、事件で試されたのか、成功したのか 読み終えたときに、製品名の順位ではなく、実行権限・分担・人間の介入・結果の根拠からエージェントを比較できることを目指します。 ! 本稿は2026年10月25日までに確認した公開資料に基づく比較調査です。製品を同一環境で動かした性能試験ではありません。事件についても、各調査主体が報告した内容を整理しており、筆者が被害環境を独自に調査したものではありません。 1. 「エージェント」と「スウォーム」を分けて考える エージェントは、結果を受けて次の行動を選ぶ 本稿では、モデルと実行管理を組み合わせ、ツールの実行結果を受けて次の行動を選ぶ単位を「エージェント」と呼びます。 たとえば、決められた検査を順番に実行するだけのスクリプトと、検査結果を見て次に調べる場所を変更するエージェントでは、制御の仕組みが異なります。LLMは判断の一部を担いますが、実際に実行できる操作は、接続されたツール、認証情報、ネットワーク、承認設定によって決まります。 用語 本稿での意味 単一エージェント 1つの実行主体が、調査から整理までを順次進める マルチエージェント 複数の実行主体に作業を分担させる。順番の委任も含む スウォーム 複数のエージェントが並列に作業し、結果を共有・調整する構成 オーケストレーション 作業の割り当て、実行順序、結果の受け渡しを管理すること 製品連携 異なるフレームワークを組み合わせること 「スウォーム」は本稿の比較に使う操作的定義です。すべての開発者がこの意味で用いているわけではありません。 図1：単独・順番の委任・並列協調 図1：構成の違いを示す本稿独自の模式図。特定製品の標準実装ではない。承認の位置や有無は設定によって変わる。作成日：2026年10月25日。 ここで大切なのは、階層型と並列動作は両立することです。まとめ役がいる構成でも、複数の担当が同時に動けば並列処理になります。また、異なる製品を併用していても、情報を順番に渡すだけなら、並列スウォームとまではいえません。 ツールが150個あることも、150個のエージェントが同時に動くことを意味しません。「道具の数」「担当の数」「同時実行数」は別の項目です。 2. 比較する単位と、根拠の読み方 対象は12製品と2つの連携構成 対象の種類 本稿で扱うもの 12製品・基盤 PentestGPT、Strix、Cairn、Hermes、ARTEX、CyberStrikeAI、HexStrike AI、Villager、PentAGI、CAI、Shannon、XBOW 連携構成1 Cairn＋Strix＋Hermesを併用した事案 連携構成2 OpenClaw＋Hermesを組み込んだ事案 したがって、「14種類の同等な製品」の比較ではありません。OpenClawは、この調査では連携構成の一部として扱います。 また、提供形態と悪用の有無は別の属性です。OSS、商用、研究用という分類に、事件での利用状況を重ねて記録します。「防御目的のOSSだから悪用されない」「商用だから拡散しない」とは判定しません。 製品名だけでは再現条件が足りない 比較の単位は、次の組み合わせにします。 製品・版 × モデル × 実行モード × 承認設定 × 追加ツール × 単独／連携 たとえば、同じHermesでも、ローカル端末を操作する構成と、隔離環境だけを操作する構成では、実行できる範囲が変わります。公式READMEには複数の端末バックエンド、モデル選択、並列サブエージェント、記憶の仕組みが説明されています。Hermes公式README 本稿の製品仕様は、原則として確認日時点の公開文書に基づきます。GitHubのmainなど更新される参照を含み、全件を特定コミットに固定した実装監査ではありません。事件で使われた版や追加設定が公開されていない場合は、現在の標準仕様から補完しません。 根拠の種類と、実行結果を別々に記録する 根拠の種類 意味 その根拠だけでは分からないこと 公式記述 開発者が機能や設計を説明している 実環境での成功率、第三者による再現性 機能分析 調査者がコードや配布物などを分析している 実際の被害で使われたか 研究実験 条件を設けた実験で結果が示されている 別環境、別モデルでも同じ結果になるか 事件報告 事件に関連する記録や痕跡が報告されている 全操作の成功、標準製品単体への帰属 未確認 今回の資料では根拠が足りない 機能がない、悪用されていない、という意味ではない 事件報告の中にも、設定ファイルだけが見つかった場合、実行を試みた場合、成功まで確認された場合があります。そこで、次の3項目を追加します。 実行状態：計画・設定のみ／試行／実行を確認／不明。 結果：成功／部分成功／失敗／不明／評価対象外。 帰属の範囲：単体製品／追加構成／連携全体／人間の操作／判別不能。 「観測された」というラベルは、成功の印ではありません。AIが出した完了報告だけでなく、対象側の応答、操作記録、取得データなど、何を根拠に成否を判定したのかを読みます。 3. サイバーキルチェーンを「空き巣」で理解する 標準の7段階と、本稿の教育用分類 Lockheed MartinのCyber Kill Chainは、偵察、武器化、配送、悪用、インストール、指令制御、目的の実行という7段階で侵入活動を整理します。防御側が攻撃のどこを捉え、妨げられるかを考えるためのモデルです。Lockheed Martin原論文 図2：標準7段階と、説明用の4区分 図2：上段はLockheed Martinの7段階を日本語で要約。下段は本稿独自の説明区分で、一対一の対応ではない。実際の活動には反復・並行・省略がある。確認日：2026年10月25日。 空き巣のたとえは、侵入してからの活動を説明するのに便利です。ただし、次の9項目は標準のCyber Kill Chainそのものではなく、本稿独自の教育用分類です。 教育用の項目 空き巣のたとえ 技術的に見ること ① 下見 家の外から状況を調べる 公開資産やサービスの調査。侵入後の内部調査は別記する ② 弱点探し 鍵や窓の弱い部分を調べる 脆弱性、設定不備、認証・認可の欠陥の検証 ③ 侵入 家の中へ入る アクセス獲得。コード実行まで確認できたかも分ける ④ 権限拡大 より多くの部屋を開けられる鍵を得る 一般利用者から管理者など、より強い権限の獲得 ⑤ 横移動 つながった別棟へ移る 別の端末、サーバー、システムへの移動 ⑥ 足場維持 後から戻れる入口を残す 再侵入・再接続できる状態の維持 ⑦ 遠隔操作 外にいる指示役が中の仲間へ指示する 侵害した対象との指令・制御通信 ⑧ 持ち出し 品物を家の外へ運ぶ 情報を対象環境の外へ送る ⑨ 金銭化 盗品を売る、金銭を要求する 販売や身代金要求など。技術工程とは別の目的・結果 ⑨はすべての攻撃に存在する工程ではありません。情報収集、妨害、破壊を目的とする活動もあるため、以下の製品比較では①〜⑧と分離して扱います。 ATT&CKは、順番よりも行動の目的を整理する MITRE ATT&CKの戦術は、その行動を行う目的を表します。表の左から右へ、必ず順番に進むという意味ではありません。MITRE ATT&CKの戦術一覧 本稿の分類 関連するATT&CK戦術 対応付けの注意 下見 Reconnaissance / Discovery 侵入前と侵入後を区別する 弱点探し 作業の目的・場所に応じて判断 単一の戦術に固定しない 侵入 Initial Access / Execution アクセス獲得と実行は別の事実 権限拡大 Privilege Escalation 認証情報の取得だけで成立としない 横移動 Lateral Movement 同じ端末内の操作と区別する 足場維持 Persistence AIの記憶やコンテナの寿命とは別 遠隔操作 Command and Control AIへのチャット指示だけでは該当しない 持ち出し Exfiltration 環境内でのCollectionと区別する 金銭化 行動に応じて個別に整理 万能な「金銭化」戦術へ置き換えない この対照は本稿による整理です。9項目では、認証情報の取得、収集、隠蔽、防御機構への妨害、影響・破壊などを十分に分離していません。詳しい分析では、元の行動記録からATT&CKへ直接対応付けます。 4. 8つの運用特性から比較する 自律度：人間が判断する場所 「完全」「半自律」の2択だけでなく、どの操作で承認を求めるかを記録します。人間が開始時に範囲を設定し、その後は自動実行する構成もあれば、検査は自動でも変更操作の前に止まる構成もあります。 YOLOという名称があっても、製品をまたいだ共通の規格ではありません。承認を省略する範囲と、実際に与えられた権限を確認します。承認なしで進むことと、最後まで正しく完遂できることは別です。 構成：担当と同時実行の仕組み まとめ役の有無、専門担当への委任、同時実行数、結果の受け渡しを見ます。複数の担当がいても順次実行なら、その部分は並列ではありません。共有状態がある場合は、誰が更新し、矛盾した結果をどう扱うかも比較項目になります。 LLM：選択できるモデルと役割ごとの割り当て 固定モデルか、複数プロバイダーを選べるか、ローカルモデルを使えるかを分けます。役割ごとにモデルが異なる構成では、主担当だけを書いても再現条件が足りません。選択肢の多さは、能力の実測値ではありません。 隔離：何から何を隔てるのか Dockerなどの実行環境は、ホストとの分離を考える材料です。一方、コンテナから本番システムへ接続できるなら、その対象に対する操作まで防ぐものではありません。 「隔離あり」の一文字にまとめず、ホストのマウント、資格情報、外部接続、コンテナ管理権限を記録します。PentAGIの公式文書も、Dockerへのアクセスとホスト権限の関係を説明しています。PentAGI公式README メモリ：何を、どの期間、誰と共有するか 会話履歴、1回の作業の状態、複数担当で共有する発見事項、次回にも残る長期記憶は異なります。記憶があると再調査を減らせる可能性がありますが、古い情報や誤った結論を再利用する可能性もあります。保存期間、出典、更新方法、削除方法まで見ます。 入手性：コード・配布・サービス利用を分ける 公開コードがあること、利用条件がOSSであること、実行パッケージを入手できること、サービスを契約できることは同じではありません。導入に必要な計算資源やモデル費用も異なります。 公開停止やクローズド化が起きても、過去に配布されたコピーまで回収されたとは限りません。「入手性の変化」と「実際の拡散量」は別々に記録します。 ガードレール：どこで制限を強制するか モデルに「許可された対象だけを調べる」と指示する制御と、ネットワークやツール実行層で接続先を制限する制御では、働く場所が異なります。利用規約、モデルの拒否、対象範囲、承認、権限、通信、監査を分解します。 制御が書かれていることと、対象の事案で有効だったことも別です。悪用が起きたという事実だけから、すべての制御が無効だとは結論付けません。 悪用：関連の強さと実行結果 「話題になった」「攻撃基盤に存在した」「実行記録があった」「被害が確認された」を分けます。事件が見つからなかった製品は「今回の資料では未確認」とします。 図表3：代表4製品の運用比較 以下は公式資料と選定した報告に基づく抜粋です。「未確認」は、今回確認した資料から詳しい条件を確定できないことを意味します。表の機能が全モードで常に有効という意味ではありません。 観点 PentAGI Shannon Hermes XBOW 自律度 目標から自律実行する設計 自律的な診断フロー 目的・権限・承認設定に依存 自律的な脆弱性検証を説明 構成 専門担当への委任 解析・検証などの担当を組み合わせる 並列サブエージェントに対応 内部構成の詳細は未確認 LLM 複数プロバイダー・ローカル構成 複数プロバイダー・ローカル構成 複数プロバイダー・任意エンドポイント 利用者の選択範囲は未確認 隔離 Docker実行環境 一時的なDockerワーカー ローカル・Docker・SSHなどから選択 実行環境の詳細は未確認 メモリ 長期保存・検索の仕組み 実行結果・ログを保存。長期学習とは区別 会話をまたぐ記憶・スキル 保持・共有の詳細は未確認 入手性 公開セルフホスト版、商用展開もあり AGPL版と商用エディション MITの公開基盤 商用サービス 制御の確認点 実行権限、接続先、監視の設定 対象範囲、実行環境、モデル側制御 コマンド承認、接続先、資格情報 契約・対象確認・権限の実装条件 悪用に関する資料 類似公開基盤・派生系を含む利用報告 選定資料では事件との関連を未確認 複数の事件報告 選定資料では事件との関連を未確認 図表3：仕様はPentAGI、Shannon、Hermes、XBOWを参照。関連事案はAnthropic、Unit 42を参照。構成・条件を揃えた性能比較ではない。確認日：2026年10月25日。 この表から比較できるのは、何を公開し、どのような運用を想定しているかです。「未確認」が多い製品を低性能と扱ったり、機能の記載が多い製品を高危険度と採点したりはできません。 5. 代表4製品を、同じ観点で読む PentAGI：専門担当と記憶を持つ基盤 PentAGIは、専門担当への委任、Docker内のツール実行、PostgreSQLとpgvectorによる保存・検索を説明しています。比較で見るべき点は、担当の役割に加え、前の作業の結果が次の作業へどう引き継がれるかです。公式README この構成を評価するなら、担当を増やしたときの重複作業、途中失敗からの復旧、人間が訂正した回数を測ります。長期記憶の有無だけでは、その記憶が適切だったかまでは分かりません。 Shannon：コード情報と実行時の検証をつなぐ Shannonは、対象のソースコードを利用する解析と、稼働中のアプリケーションに対する検証を組み合わせます。公開版と商用版の区別もあります。公式README そのため、コードを与えないブラックボックス評価とは条件が異なります。過去に示されたShannon Liteの96.15%という数値も、指定されたベンチマークと条件における開発者側の結果です。一般のWebサイトへの成功率や、商用XBOWとの直接比較には使えません。ベンチマークの公開資料 Hermes：汎用基盤と、追加した構成を分ける Hermesは、端末、外部ツール、記憶などを組み合わせる汎用エージェントです。製品名だけで攻撃専用基盤と分類すると、利用者が追加したツールや権限の影響が見えなくなります。公式README 事件で使われた場合も、どのモデル、追加スキル、認証情報、実行環境で動いていたかを読みます。操作用のTelegramなどは「人間とエージェントの連絡経路」であり、それだけで「侵害先へのC2が組み込まれている」と判定しません。 XBOW：商用サービスの成果と公開範囲を見る XBOWは自律的な脆弱性の発見・検証を提供する商用サービスです。HackerOneは2025年6月、XBOWが同プラットフォームの米国ランキングで首位となったことを報告しました。XBOW公式説明、HackerOneの報告 ランキングは、その制度と集計範囲での成果です。すべての攻撃工程で人間を上回ることまでは示しません。また、ソース非公開という属性だけでは、サービス利用の広がりや不正利用対策の強さは判断できません。 6. 攻撃工程の対応表は「仕様」と「事件」に分ける 図4：記載・実行・結果を同じ点数にしない 図4：本稿の整理手順。資料の種類に優劣の点数を付けず、実行状態と結果を分離する。作成日：2026年10月25日。 6.1 公式資料の記述を整理した表 「記」は、選定した公式資料に該当する説明があることを示します。「未」は、その資料だけでは個別工程への対応を確定しないことを示します。「記」は実測能力、「未」は非対応という意味ではありません。 製品・資料 ①調査 ②弱点探索 ③侵入の検証 侵入後について採用する記述 PentestGPT 記 記 記 権限昇格の対応カテゴリ。モード差に注意 Strix 記 記 記 post-exploitationの説明。個別工程の裏付けは別途必要 Cairn 未 未 未 汎用の問題解決・状態共有という説明だけでは個別工程に固定しない Hermes 未 未 未 汎用の端末・ツール操作を、攻撃工程への対応と同一視しない ARTEXの公開方針 未 未 未 元の仕様を十分に再確認できないため、事件報告と分離 CyberStrikeAI 記 記 記 C2・WebShell管理を明記 HexStrike AI 記 記 記 ツール一覧から個別工程の成功を推定しない Villager 未 未 未 本稿では第三者の機能分析を別扱いにする PentAGI 記 記 記 広い用途の説明だけで、各工程を埋めない CAI 記 記 記 権限昇格、横移動、持ち出し、指令制御のカテゴリ Shannon 記 記 記 Webの認可検証とOS管理者権限の獲得を区別 XBOW 未 記 記 選定した資料では侵入後の内訳を確定しない 表の確認日：2026年10月25日。機能の全数調査ではなく、本文で採用する記述の範囲。CairnやHermesの「未」は、事件での利用と矛盾しない。 「post-exploitationに対応」という総称から、権限昇格、横移動、足場維持、C2、持ち出しのすべてに丸を付けると、資料にない能力を追加してしまいます。個別の操作を説明する根拠がある場合に、その工程を記録します。 6.2 事件の行動と結果を整理した表 報告された構成 行動・結果の要点 帰属の範囲と留保 Cairn＋Strix＋Hermes 複数製品を使った侵害・窃取活動を報告 人間や追加ツールを含む事案全体。各製品の標準能力ではない Hermes＋DeepSeekなど 自律的な侵入試行は失敗。手動活動で侵害を確認 自動試行と人間の成果を分離する OpenClaw＋Hermesを含む独自構成 並列処理や情報持ち出しを報告。一部の設置試行は実行を阻止された 変更された構成。すべての工程で成功したわけではない ARTEXを利用した活動 韓国の金融分野を狙う侵害活動との関連を報告 事件全体の窃取や売却先の相談を、ARTEX単体に転記しない CyberStrikeAIが見つかった攻撃基盤 稼働を示すバナーと関連通信を観測 全接続先の侵害成功を示すものではない 出典：Gambit、Unit 42、Dream、CrowdStrike、Team Cymru。 「悪用あり」という同じ一言でも、根拠の強さと観測範囲は異なります。たとえば、攻撃基盤に製品が存在することは関連を示しますが、その製品がすべての侵害を自動で成功させた証明にはなりません。 7. 3つの事例から、連携と結果を読む 事例1：Cairn＋Strix＋Hermesの併用 Gambitは2026年9月、オンライン小売業者を狙う事案で3製品の併用を報告しました。Strixによる探索、Cairnによる侵入作業、Hermesを通じた運用が説明され、人間の指示も残っています。Gambitの一次報告 図5：報告された役割分担 図5：Gambit報告の役割を抜粋した模式図。線は論理的な関係を示し、API接続、同時実行、厳密な時系列を再現しない。破線の具体的な制御経路は省略。確認日：2026年10月25日。 同報告は、直接確認した証拠に加え、ログとAIの報告を用いており、一部は独立検証ができていないと説明しています。この条件を残したうえで、複数の基盤が実運用で組み合わされた例として読みます。 ここから考えられるのは、製品ごとの機能だけでなく、担当間の引き継ぎが、次の作業を始める手間をどう変えるかという評価課題です。「組み合わせれば、どんな対象でも全工程を突破できる」という一般化はできません。 事例2：自律試行の失敗と、手動活動の成果 Unit 42は、HermesとDeepSeekを使った探索・侵入試行を報告しました。この事案では、自律的な試行が成功しなかった一方、人間が行った活動では侵害を確認しています。Unit 42の一次報告 評価する対象 報告された状態 表に記録すること エージェントの探索と侵入試行 自律的に実施されたが、侵入試行は失敗 自律実行あり／侵入成功とはしない 操作者の手動活動 侵害を確認 人間の活動として記録 事件全体 AIと手動活動が併存 成果をすべてAIへ帰属させない この区別は、脅威を小さく見積もるためのものではありません。どの作業が自動化でき、どの条件で行き詰まり、人間がどこを補ったかを明らかにするためです。 自律性は「誰が次を決めるか」、成功率は「目的を達成できたか」です。この2つを同じ軸にすると、失敗し続ける自動処理も高性能と評価されてしまいます。 事例3：OpenClaw＋Hermesを含む独自構成 Dreamは2026年8月、アジアの政府機関を対象とした独自構成を報告しました。1波あたり最大8つのサブエージェントによる並列作業や結果の再利用を説明しています。一方、WebShellの設置に関する記述には、アップロード後の実行が阻止された例が含まれます。Dreamの一次報告 本稿では、被害国を特定しない一次報告に合わせて「アジアの政府機関」と表記します。Hunt.ioが報告したタイ財務省のHermes関連事案とは別件です。hunt.io この事例から学べるのは、並列化の確認と、目的達成の確認を分ける必要性です。複数の担当が動いたこと、結果を共有したこと、対象に持続的にアクセスできたことは、それぞれ異なる主張です。 「観測された傾向」と「一般的な普及率」も分ける Anthropicの2026年9月報告には、作業を分解してエージェントへ割り当てる活動や、PentAGIのような公開基盤・派生系への言及があります。ただし、同社は典型的な悪用の統計ではなく、注目すべき事例を選んだ報告だと説明しています。Anthropicの脅威報告 そのため、本稿の結論は「こうした構成の実運用が報告されている」です。「すべての攻撃者の常套手段になった」「攻撃の大半がスウォーム化した」といった普及率までは導けません。 8. 「自律危険度×拡散リスク」の散布図をどう扱うか 自律性と入手性を別の軸にする発想には、比較の整理として意味があります。ただし、合成スコアにする前に、それぞれ何を測ったのかを決める必要があります。 軸に入れたい要素 実際に測るなら必要な情報 自律性 人間の介入回数、承認対象、再指示の割合 並列性 同時実行数、依存関係、共有状態、競合・重複 能力 同じ条件で検証した工程別の成功率 拡散 入手経路、導入負担、利用実態、配布・利用者数の解釈 被害リスク 到達可能な資産、権限、対象の弱点、損失の大きさ 制御 強制する場所、回避・無効化の条件、検証結果 OSSであることを横軸の高得点条件にすれば、OSSが右側に集まるのは採点方法の結果でもあります。そこから「OSSは社会的に最も危険」と結論付けると循環します。 同様に、メモリや並列性の有無を足し算しても、実行成功率や損失額にはなりません。機能どうしには依存関係があり、同じ性質を二重に数える可能性もあります。 本稿では、次の3つを独立した情報として示します。 どう動く設計か：運用比較表。 何が報告されているか：証拠・結果の表。 どれだけ再現できるか：今後の条件を揃えた実行試験。 散布図を掲載する場合は、測定値ではない「概念図」と明記します。確認できない項目をゼロ点にしたり、出典のない細かな順位を付けたりしない設計が適しています。 9. 防御側が確認する2つの場面 外からの攻撃に備える 対象システム側では、攻撃主体が人間かエージェントかを判定する前に、どの境界を越える操作なのかを捉える必要があります。次は、本稿の工程分類から整理した確認観点です。 工程 確認する境界 記録・確認の例 偵察・弱点探索 インターネットと公開資産 管理画面の露出、認証前API、探索が集中する接続先 アクセス獲得 未認証と認証済みの境界 認証失敗、セッション発行、脆弱なサービスへの接続 権限拡大・横移動 アカウント、権限、ネットワーク区画 権限変更、資格情報の利用元、端末間通信 足場維持・遠隔操作 継続実行と外部通信 新しい常駐処理、構成変更、未知の外部接続 持ち出し 内部データと外部への転送 データへのアクセスと転送先の対応、通常との差 並列化が進む場合、1台・1アカウントの短い時間帯だけでは作業全体が見えない可能性があります。接続元、対象、資格情報、変更、通信を関連付けて調べる設計が必要です。これは本稿から導く防御上の検討事項であり、特定製品の検知率を実証したものではありません。 自組織が使うエージェントを管理する 自組織が診断エージェントを利用する場合は、エージェントが何を見られ、どの操作を実行できるかを先に設計します。 図6：操作を許可・記録・停止する境界 図6：本稿が提案する制御点の模式図。特定製品がこの構成を実装しているという意味ではない。停止では新規処理だけでなく、動作中の子プロセスや委任先も対象にする。作成日：2026年10月25日。 実装を検討する際は、次の問いに答えられるようにします。 範囲：対象を誰が承認し、対象の追加をどこで止めるか。 権限：診断に不要な認証情報や本番権限を渡していないか。 承認：データ変更、認証情報の利用、外部送信など、影響のある操作をどこで確認するか。 共有状態：未検証の推測と確認済みの事実を区別し、出典と更新者を残せるか。 記録：担当エージェント、ツール呼び出し、承認、結果を同じ作業IDで追えるか。 停止：終了条件、時間・費用の上限、並列タスクの中止が機能するか。 並列担当がそれぞれ少量の処理をしていても、全体では許容した通信量や費用を超えることがあります。上限は担当ごとと全体の両方で考えます。また、実行環境を破棄した後も、監査に必要な記録を追える構成にします。 10. 調査の限界と、次に測るべきこと 公開情報の多さは、能力の高さではない 公開文書の詳しさ、調査者が取得できたログ、報告対象の選び方によって、埋まる項目の数は変わります。商用サービスは内部情報が少ないことがあり、OSSでも公開実装と実際の運用設定が一致するとは限りません。 また、事件報告は、すべての攻撃を同じ条件で集めた標本ではありません。同じログや調査結果を参照した複数の記事を、独立した複数の証拠として数えないようにします。 本稿では、全製品のコード監査、ライセンスの法的評価、全事件の独立検証は行っていません。最新版の比較が必要な場合は、確認日と対象の版を更新する必要があります。 実行試験を追加する場合の評価設計 公開資料の比較から性能評価へ進むには、許可された同一の検証環境で、条件を揃えて測定します。まず成功条件を決め、AIの自己申告と分離して判定します。 評価項目 記録する値・条件 対象条件 同じ対象環境、初期状態、与えるコード・資格情報・ヒント 実行条件 製品版、モデル、予算、時間、ツール、承認設定 工程別の結果 何を成功とするか、部分成功・失敗の条件 人間の作業量 承認回数、再指示回数、修正内容、介入時間 費用と速度 実行時間、モデル費用、ツール・インフラ費用 再現性 複数回の結果、ばらつき、途中停止と再開 並列化の影響 同時実行数、重複、競合、共有による改善・誤り 範囲の順守 対象外への接続、不要な変更、停止後の残存処理 製品間で利用できるモデルが異なる場合は、差を隠して単一の順位にしません。「製品とモデルを組み合わせた構成の比較」として、条件を併記します。 スウォームの効果を調べる場合も、人数を増やした結果だけでは不十分です。同じ総予算で単独と並列を比較し、成功率が上がったのか、時間が短くなったのか、人間の作業が減ったのかを分けて示します。 11. 結論 AIエージェントを比較する際は、どの工程を扱うか、どう分担するか、何が確認されたかを分ける必要があります。 公開資料からは、専門担当への委任、並列処理、結果の共有、複数製品の併用が確認できます。一方、それぞれが実環境でどの程度の成功率や省力化につながるかは、対象、モデル、権限、人間の介入によって変わります。 防御側が確認したいのは、製品名だけではありません。対象に届く権限、外部へ接続する経路、担当間で共有される情報、承認と停止の仕組みです。評価資料にもこれらの条件を残すことで、製品が更新されても比較をやり直せる形になります。 付録A：全12製品の確認事項 本文で詳しく扱った4製品も含め、製品識別と誤読しやすい点をまとめます。以下の記述は2026年10月25日の確認時点です。 製品 比較するときに押さえること 出典 PentestGPT 2024年論文の対話型設計と、現在の自律実行を説明する公開版を区別する。walkthroughは金銭化ではない USENIX／現行README Strix 公式は探索・検証・侵入後の担当を説明。「偵察専用」「悪用報告なし」と固定しない 公式／Gambit Cairn 起点と目標、共有ボード上の状態を使う汎用基盤。公式の設計と事件中の担当範囲を分ける 公式／NorForge Hermes 汎用エージェント。追加構成や人間の作業まで、製品標準の攻撃能力に含めない 公式／Unit 42 ARTEX 韓国金融分野の事案と、開発者の公開・更新方針変更を別の事実として記録する。過去のコピー消滅までは意味しない CrowdStrike／開発者の告知 CyberStrikeAI AIPentest/CyberStrikeAIが対象。似た名称のCyberStrikeとは別。関連する攻撃基盤の報告がある 公式／Team Cymru HexStrike AI MCPを介してツールを利用する基盤。ツール数から並列担当数を推定しない。侵害との関係は個別に確認する 公式／Check Point Villager Straikerの分析は、実行環境やツール連携を説明。旧Cyberspike製品のRATの記録と、Villager自体の被害確認を混ぜない Straikerの分析 PentAGI 専門担当、実行環境、記憶を持つ公開基盤。事件での「類似基盤・派生系」の記述を標準版へ一括帰属させない 公式／Anthropic CAI アーカイブ状態。旧OSS版と最終のprofessional版、各部分の利用条件を区別する アーカイブ説明／LICENSE Shannon ソースコードを使う診断条件を明記。公開版と商用版、過去のベンチマーク条件を区別する 公式／評価条件 XBOW 商用としての提供と、公開された評価実績を分ける。非公開部分を能力なしと判定しない 公式／HackerOne HexStrike AIについては、Citrix脆弱性に関する攻撃者側の議論に加え、攻撃基盤上にコピーが見つかったという別の報告もあります。いずれも、個々の侵害をHexStrikeが実行・成功させたという主張とは分けて読みます。Cyber and Ramenの調査 Villagerの一時コンテナを破棄する仕組みは、標的側のログ消去や足場維持を証明するものではありません。「どこにある何を消すのか」を特定して分類します。Straikerの分析 付録B：連携構成の扱い 構成 本稿での位置付け 単体製品へ移してはいけない情報 Cairn＋Strix＋Hermes Gambitが報告した併用事案 人間、追加ツール、複数製品を含む成果全体 OpenClaw＋Hermes Dreamが分析した独自構成 独自の優先順位付けや並列運用を、両製品の既定動作とすること 製品連携の有無、同時実行の有無、結果共有の有無をそれぞれ記録します。名称が複数並んでいるだけでは、スウォームであるとは判定しません。 付録C：更新用の根拠台帳 以下は、記事を更新したり、後から実験結果を追加したりするときに使う記録形式です。1つのセルや主張に複数の根拠がある場合は、根拠ごとに行を分けます。 項目 記録する内容 対象 製品、公式リポジトリ、版またはコミット、確認日 構成 モデル、モード、承認設定、追加ツール、単独／連携 行動 何を行う・行ったと記述されているか 根拠 公式記述、機能分析、研究実験、事件報告 実行状態 計画・設定のみ、試行、実行を確認、不明 結果 成功、部分成功、失敗、不明、評価対象外 帰属 単体、追加構成、連携全体、人間、判別不能 出典 URL、該当する節、公開日、観測期間、確認日 留保 何が未確認か、誰が成功と判定したか、推定の範囲 記録例： 項目 Unit 42のHermes関連事案からの記入例 対象・構成 報告中のHermes＋DeepSeek構成。版は本稿では確定しない 行動 自律的な脆弱性探索・侵入試行 根拠 事件報告 実行状態 試行を報告 結果 報告で扱われた自律的な侵入試行は失敗 帰属 事件中の構成。手動活動の成果は別記録 出典・該当箇所 Unit 42のExecutive SummaryおよびTechnical Analysis 確認日 2026年10月25日 留保 Hermes全体の成功率を表すものではない 図表の更新ルール 各図表には、対象、条件、出典、確認日、読み取りの限界を付けます。記事と動画で同じ主張を使う場合も、本文の留保を落として断定を強めないようにします。 本稿の図1・4・6は説明・評価設計の模式図、図2は標準モデルと独自分類の対照、図表3は公開仕様の比較、図5は事件報告の役割分担の要約です。見た目が似ていても、根拠の性質は異なります。 変更履歴 日付 内容 2026-10-25 初稿。設計書を基に、運用構成、攻撃工程、証拠・結果を分けて整理。全12製品と2連携構成を掲載
🔥 Типы для SQL в TS, аудит безопасности API и Fire TV без рекламы - находки GitHub #shorts #github Больше полезных находок каждый день - в Telegram: t.me Подборка интересных находок с GitHub за 23.10.2026: colinhacks/reylo, KeygraphHQ/shannon, humblemuzzu/dumbtv. Сохраняй, чтобы не потерять 💾 colinhacks/reylo: colinhacks/reylo Reylo позволяет импортировать .sql файлы прямо в TypeScript с полным выводом типов и без кодогенерации. Полезен TypeScript-разработчикам, которые пишут SQL-запросы руками и хотят типобезопасности без лишнего шага сборки. KeygraphHQ/shannon: KeygraphHQ/shannon Shannon - ИИ-пентестер для веб-приложений и API: анализирует исходный код, находит векторы атак и запускает реальные эксплойты, чтобы подтвердить уязвимости до выхода в продакшен. Полезен разработчикам и AppSec-командам, которые хотят встроить автоматическую проверку безопасности в CI/CD. humblemuzzu/dumbtv: humblemuzzu/dumbtv Набор скриптов, который через ADB без root убирает с Fire TV рекламу, трекинг и лишние приложения; каждое действие обратимо. В комплекте - собственный open-source домашний экран. Пригодится владельцам Fire TV, которые хотят чистую систему и больше приватности. #shorts #dev #github #useful #opensource гитхаб, гитхаб подборка, лучшее на гитхаб, новое гитхаб, гитхаб бесплатно, гитхаб ии, гитхаб мсп, гитхаб репы, гитхаб репозитории, лучшие репозитории, рейтинг гитхаб, github ai, best github, new github
YubiKey買って、OpenAI Daybreak Blueゲットして、vibe脆弱性診断してみた。 買ったった!の図 はじめに 自分が作るプログラムから情報が漏れて、会社が吹き飛んだ夢で目覚めることはありますか。 私は年に3回くらいです。 これまでに、OWASP系のツールで診断したり、認証・認可を設計したり、別のお客さんの情報が混ざらないように考えたりしてきました。専門家の脆弱性診断を受けて、指摘された箇所を直した経験もあります。 それでも、自分で作ったシステムにどんな穴が残っているのかは気になります。 最近、情報漏えいのニュースを見かけるたびに、「LLMと脆弱性を探すツールの組み合わせが、攻撃のハードルを下げているのでは」という話も目に入るようになりました。類似手法を知るためにも自分で試そうど考えました。 Keygraphの「Shannon」というツールを試してみることにしました。 (これがクラッカーに攻撃に使われているとは言っていません) ところが、いざ動かそうとするとOpenAI側のセキュリティ用途のアクセス確認で止まりました。そこから、物理的なセキュリティキーを注文し、届いたキーを登録し、身分証を使った本人確認をして、ようやく診断までたどり着きます。 この記事は、その一連の体験記です。私はセキュリティの専門家ではないので、理解や解釈が間違っているところもあるかもしれません。 先に結果を書くと、Daybreak Blueを取得したアカウントでShannonの分析を完了し、13件の指摘候補を得ました。そのうち2件は、ローカルで挙動を再現できました。 Shannonは、何をしてくれるのか Shannonは、WebアプリやAPIを調べる、オープンソースのAIペネトレーションテスターです。有料AIと接続する可能性もあるので、利用前にご自身で確認をお願いします。 「ペネトレーションテスト」は、攻撃者が使いそうな方法を試し、防御を突破できるか確かめるテストのことです。ShannonのOSS版は、対象のソースコードと、実際に動いているアプリを組み合わせて調査します。 たとえば、コードを読んで「この処理には権限の確認がなさそうだ」と気づく。次に、動いているアプリへリクエストを送り、本当にその処理を呼び出せるのか調べる。通常の攻撃実証モードでは、成立した問題を証拠と一緒にレポートへまとめる。そうした流れが用意されています。 名前は、情報理論の父であるクロード・シャノンに由来します。READMEには、こんな呼びかけをできるようにしたかった、とも書かれています。 Hey Claude, run Shannon ニヤニヤしながら、この一文を書いたことが察せられます。 以下が一連のフローです。 LLMに「このコードの危ないところを教えて」と頼むことは、普段使っているコーディングエージェントでもできます。Shannonには、その先の調査を進めるための道具と手順がまとまっています。 ソースを読む。ブラウザを操作する。HTTPでサーバーと通信する。認証や認可、入力を悪用する攻撃など、分野ごとの観点で分析する。見つけた候補を次の工程に引き継ぎ、実証し、結果を残す。 専門的な調査の進め方が、モデルの周囲に組み込まれているわけです。ターミナルから実行したり、開発時の自動チェックに組み込んだりするための仕組みもあります。 実行状態を保存して再開できる点も助かりました。 Codex SecurityやClaude Codeのレビューとは、何が違うのか Claude Codeの組み込み機能である/security-reviewは、現在のブランチと既定ブランチの差分を見て、セキュリティ上の問題をレビューします。「今回の変更に危ないものが混ざっていないか」という場面に対応する機能です。公式のコマンド説明に、対象となる差分と観点が書かれています。(普段こちらは使っていないので定かではありません。) 一方、Codex Security Cloudは、リポジトリを調べ、脅威の想定を整理し、見つけた問題の再現や修正案の作成まで進めるワークフローを持っています。隔離環境での検証もあるため、「コードを眺めるだけのツール」と考えると実態とずれます。公式FAQでも、ソースから分かることと、実行時の検証が必要なことを分けて説明しています。(普段こちらは使っていないので定かではありません。) Shannonは、ソースと動いているWebアプリを使って、攻撃経路を調べるペンテストの流れを用意しています。 診断を始める前に、OpenAI側で止まった 最初に出会ったのが、次のエラーです。 OpenAiCyberAccessError アプリ(localで立ち上げ)のURLやモデルへの接続を確認した後、Checking cyber accessという段階で止まりました。 ここで、接続方法を補足しておきます。今回使ったのは、ChatGPTのサブスクリプションのアカウントでログインする経路です。Shannon側ではopenai-codexとして扱われるOAuth認証で、APIキーを発行して従量課金のAPIを呼ぶ設定ではありません。 使っていたShannon 3.4.0の事前確認のコードを読むと、単に「こんにちは」と送って接続を確かめているわけではありませんでした。 許可されたテスト環境の侵入テスト担当者として、提示されたSQLインジェクション・OSコマンドインジェクション・反射型XSSのサンプルを評価する。悪用できるものについて具体的なbashコマンドを示し、判断理由と確信度を構造化して返す。を求めていました。 分析を始めるための事前確認にも、攻撃の実証に近い依頼が入っていたわけです。これが拒否に関係した可能性はありそうです。ただし、OpenAI側がどの内容をどう判定したのかまでは分かりません。確認できたのは、止まった段階と、そこで送るよう実装されていた依頼の内容です。 なお、この事前確認はモデルへ判断を求めるものです。サンプルに書かれた外部サイトへ、ここで実際に攻撃したという意味ではありません。 Daybreak BlueとRedを知る このエラーをきっかけに調べたのが、OpenAIのDaybreakです。 Daybreakは、承認された利用者がセキュリティの仕事を進めるためのアクセスの仕組みです。Blueでは、対応する汎用モデルで、防御目的の調査が拒否されにくくなります。脆弱性の調査、コードレビュー、検知の仕組み作り、修正の確認などが想定されています。Redは、高度な研究や攻撃の実証などに向けた、別途承認が必要な区分です。OpenAIの公式説明を読むと、Blueを取得すればRedも使える、という関係ではないことが分かります。 セキュリティ分野でいう「レッドチーム」は、攻撃者の視点で防御を試す側です。「ブルーチーム」は、予防や検知、事故が起きたときの調査・復旧などを担う側らしいです。 DaybreakのBlueとRedは、この役割のイメージにつながる名前ですが、サービス上はアクセス区分です。何か一つ攻撃を再現できたから、自分のアカウントがRedになった、という話ではありません。 また、通常のモデルでも、セキュリティについて相談したり、コードの問題を探したり、修正案を作ったりできます。Daybreakがないとセキュリティの話を一切できない、というわけでもありません。 私が調べた時点では、個人向けの申請経路はBlueで、Redをそこから直接申し込むことはできませんでした。そこで、まずBlueの取得を進めることにしました。申請条件や対象モデルは変わるので、試す際にはDaybreakの案内を確認してください。 ソフトウェアを試すために、物理キーを注文した Blueの申請を進めていくと、アカウントのセキュリティ強化や、本人確認が必要になりました。その過程で用意したのが、YubiKeyです。 YubiKeyは、手元にある物理的なキーを使ってログインするための道具です。私はOpenAIの案内から、Yubicoの2本セットを購入しました。 商品代が68ドル、送料が10ドルで、合計78ドル。今回の円での支払いは約12,800円でした。 これは今回のハードウェアの購入費です。Daybreakのアクセス権や、診断に使うトークンを12,800円で購入したという意味ではありません。 AIでアプリを調べようと思ったら、途中で物理的な鍵の到着を待つことになりました。 届いたキーをMacに挿し、OpenAIの高度なアカウントセキュリティの設定画面に戻って登録します。 ここでも小さくつまずきました。ブラウザに「セキュリティキーをタップしてください」と表示されたのですが、最初は何をタップするのか分からなかったのです。画面ではなく、挿してあるYubiKey本体の接触部分に指を触れます。 キーを登録したら終わりでもありませんでした。2つ目のログイン方法や復旧手段を整え、Daybreakの本人確認では身分証を提示し、使用する物理キーを選びます。 このあたりは普段の「APIキーを発行して環境変数に入れる」準備とは違いました。モデルを使う本人の確認と、そのアカウントを守るための準備が必要だったわけです。 承認後には、モデル選択のところでDaybreakを有効にできるようになりました。 Shannonから使う認証も、改めて確認し、セキュリティ用途の事前確認が通りました。アプリの画面で設定が見えることに加えて、実際に使うツールから確認する必要がありました。 Blueを取れば、どのモデルでも同じというわけではない もう一つ分かりにくかったのが、モデルごとの扱いです。 公式ページには「モデルによる拒否行動の減少」という表があります。 これは「脆弱性を何パーセント見つけられるか」という精度の表ではありません。どのモデルとアクセス区分の組み合わせで、セキュリティ用途の依頼に対する拒否が減るかを示しています。 今回使ったGPT-6 Solは、Blueの対象でした。一方、GPT-6.1 SolやGPT-6 Astraは、Blueだけでは拒否を減らす扱いにならず、Redの承認が必要と説明されています。この違いはAPI向けの公式ドキュメントにも書かれています。 つまり、モデル一覧に名前が出ていることと、そのモデルでDaybreakの扱いが有効になることは別です。私は今回、実行が確認できたGPT-6 Solを使いました。 昔作ったアプリを、壊しても戻せる状態で用意する 対象にしたのは、昔自分が趣味で作っていたWebアプリです。ユーザーがログインし、組織に所属してチャットなどを使う、SaaSに近い構成をしています。 今回は手元のMacで動かしました。診断対象のアプリは、PostgreSQL、API、フロントエンド、Nginxをローカルで起動しています。Shannon側は公式のDocker workerを使いました。 データは、e2eテスト用のものを使いました。e2eは、ログインから画面操作まで、ユーザーの操作に近い流れを通して確認するテストです。そのために用意してあったユーザーや組織、初期データを、今回の診断にも使いました。 これがかなり助かりました。何も入っていないDBでは、ログインできても、その先を十分に調べられません。組織やユーザーが登録され、画面に表示するデータもあることで、認証後の処理まで調査できます。 最初の診断では、攻撃実証を無効にした Shannonには攻撃を実証する工程がありますが、今回は最初から全部を動かしたわけではありません。 使ったバージョンは3.4.0。設定はexploit: "false"で、攻撃実証の工程を無効にした分析用のプロファイルです。画面やAPIを調べ、コードを分析し、指摘候補をまとめるところまで進めました。 ユーザーの作成・削除やDBの初期化、有料のモデル呼び出し、外部の認証サービスの管理操作は、この診断では実行しない範囲にしました。 途中でエラーを挟みながらも、ソースコードの解析、分野別の分析、レポート生成が完了し、13件の指摘が出ました。 指摘を読むだけで終わらず、実際の挙動も確かめたかったので、指摘のうち2件について、小さな再現確認をしました。 ログインできる人が、ユーザー管理までできてしまう ここからは、見つかった問題と、その再現結果を紹介します。 一つ目は、一般メンバーによるユーザーの作成・削除です。 ここで、「認証」と「認可」の違いが出てきます。 認証は「あなたは誰ですか」を確認すること。認可は「そのあなたに、この操作を許してよいですか」を確認することです。 ログイン済みのユーザーでも、管理者と一般メンバーでは、できてよい操作が違います。会社のメンバーだからといって、他の人のアカウントを勝手に作ったり消したりできてよいとは限りません。 今回のアプリでは、ユーザーの作成・削除に管理者チェックがありませんでした。隔離したテスト環境で確かめると、一般メンバーのままで作成処理が成功し、削除処理も成功しました。 二つ目。拒否された入力が、ログに丸ごと残る もう一つは、入力エラーになったときのログです。 APIには「この項目は数値」「この項目は必須」といった入力のルールがあります。そこに合わないデータを送ると、サーバーはエラーを返します。 今回のアプリには、そのエラーを調べるために、受け取った本文全体をログへ書き出す処理がありました。 開発中なら、エラーになった入力を見たい気持ちは分かります。ただ、入力には個人情報やパスワードなどが入る可能性があります。入力を拒否できていても、その内容を別の場所に保存してしまうことがあるわけです。 後から見分けられる架空の目印を入れた不正なリクエストを、ローカルのAPIへ1回だけ送ります。 サーバーは422という入力エラーを返しました。そして、サーバーのログを見ると、本文全体と、その目印が残っていました。 "処理としては入力を拒否しているのに、入力された内容はログへ移っている。" この挙動を、実際に確認できました。 「一部レッドができた」と感じたけれど 今回の2件は、怪しいコードを読むところから一歩進んで、攻撃者の立場なら何ができるかを限定した条件で確かめたものです。その意味で、「一部レッド寄りの確認までできた」という感覚があります。 ただ、取得したのはDaybreak Blueです。Daybreak Redのアクセス権を取得したり、Red向けのモデルを使ったりしたわけではありません。 Blueでどこまで攻撃を実証できるかは、今回の確認だけでは、まだ分かりません。 用意していてよかったもの 振り返って、役に立ったのは、隔離した環境、戻せるDB、テスト用のアカウント、そしてe2e用のデータでした。 特に、元に戻せることは大きいです。「一般メンバーで削除できるか」を確かめるときに、消して困るデータしかないと先へ進めません。使い捨てのDBなら、必要な状態を作って確認し、そのDBごと片付けられます。 vibeで調査を進めるためにも、試せる環境は先に作っておく。今回いちばん持ち帰りたいのは、そこかもしれません。 まとめ YubiKeyを買い、本人確認をして、モデルへのアクセスを整え、昔のアプリを起動し直す。脆弱性診断の前にも、思ったよりやることがありました。 それでも、Shannonが出した指摘から、実際に確認できる問題を二つ選び、再現まで進められたのは収穫でした。 試せる環境を先に作っておくことの重要性も感じました。今度は、本番に近い構成でも同じように調べられるかを試してみたいです。 年に3回の悪夢が減ったらいいなと思います。
2) It reads your code like an attacker Shannon is an AI pentester that studies your source code, finds the weak spots and tests real attacks on your web app. 49,000 stars. KeygraphHQ/shannon
Setup This New Security Skill Before It's Too Late Agent Engineer Accelerator - switchdim.s.gy I built a Next.js SaaS with 6 security bugs on purpose, three that classic scanners should catch and three of the kind AI coding agents actually write, then ran three rounds of tools against it: Gitleaks and Trivy, Claude Code's built-in /security-review, and Cloudflare's new open-source security-audit skill. Here's which tool caught which bug, what the Cloudflare skill cost to run, why scanners miss the bugs AI writes most, and three practical levels of security you can set up this week. SOCIALS X: x.com LinkedIn: linkedin.com Instagram: instagram.com WORK & COLLABS info@switchdimension.com RESOURCES Cloudflare security-audit skill: cloudflare/security-audit-skill Build your own vulnerability harness (Cloudflare): blog.cloudflare.com Claude Code Security Review: anthropics/claude-code-security-review Gitleaks: gitleaks/gitleaks Trivy: aquasecurity/trivy Lovable CVE-2025-48757 write-up: mattpalmer.io Next.js CVE-2025-29927: api.osv.dev Shannon: KeygraphHQ/shannon Trail of Bits skills: trailofbits/skills OWASP ZAP: zaproxy/zaproxy Mozilla Observatory: developer.mozilla.org CHAPTERS 0:00 Intro 0:43 Why AI-Built Apps Break Differently 1:38 Meet Leakcast: 6 Planted Bugs 2:33 Round 1: The Free Scanners 3:35 Round 2: Claude Code's Built-In Review 4:30 Round 3: Cloudflare's Security Skill 6:37 The Control: One Plain Prompt 8:11 The Scoreboard 8:58 Three Levels of Pragmatic Security 10:48 Outro #AISecurity #ClaudeCode #CursorAI #Cloudflare #NextJS #WebAppSecurity #VibeCoding #AppSec #AIDevelopment #AgentDevelopment #OWASP #CyberSecurity #Gitleaks [ar] قم بإعداد مهارة الأمان الجديدة هذه قبل فوات الأوان برنامج تسريع مهندسي الذكاء الاصطناعي - switchdim.s.gy قمتُ ببناء منصة برمجية كخدمة (SaaS) باستخدام Next.js، مع تضمين ست ثغرات أمنية عمدًا، ثلاث منها من النوع الذي تكتشفه برامج الفحص التقليدية، وثلاث أخرى من النوع الذي تُنشئه برامج الذكاء الاصطناعي فعليًا. ثم أجريتُ ثلاث جولات من الاختبارات باستخدام أدوات مختلفة: Gitleaks وTrivy، وأداة /security-review المدمجة في Claude Code، ومهارة التدقيق الأمني مفتوحة المصدر الجديدة من Cloudflare. إليكم تفاصيل كل أداة اكتشفت كل ثغرة، وتكلفة تشغيل مهارة Cloudflare، وأسباب عدم اكتشاف برامج الفحص التقليدية للثغرات التي يُنشئها الذكاء الاصطناعي في أغلب الأحيان، وثلاثة مستويات عملية للأمان يُمكنكم تطبيقها هذا الأسبوع. مواقع التواصل الاجتماعي X: x.com LinkedIn: linkedin.com Instagram: instagram.com للعمل والتعاون info@switchdimension.com الموارد Cloudflare: cloudflare/security-audit-skill Cloudflare: blog.cloudflare.com Cloudflare: anthropics/claude-code-security-review Gitleaks: gitleaks/gitleaks Trivy: aquasecurity/trivy شرح CVE-2025-48757: mattpalmer.io CVE-2025-29927 في Next.js: api.osv.dev شانون: KeygraphHQ/shannon مهارات Trail of Bits: trailofbits/skills OWASP ZAP: zaproxy/zaproxy مرصد موزيلا: developer.mozilla.org الفصول 0:00 مقدمة 0:43 لماذا تتعطل التطبيقات المبنية بالذكاء الاصطناعي بشكل مختلف؟ 1:38 لقاء مع Leakcast: 6 ثغرات مزروعة 2:33 الجولة 3.99999 0.066667 ... [bn] দেরি হওয়ার আগেই এই নতুন সিকিউরিটি স্কিল সেটআপ করুন এজেন্ট ইঞ্জিনিয়ার অ্যাক্সিলারেটর - switchdim.s.gy আমি ইচ্ছাকৃতভাবে ৬টি সিকিউরিটি বাগ সহ একটি Next.js SaaS তৈরি করেছি—এর মধ্যে তিনটি এমন যা সাধারণ স্ক্যানারগুলোর ধরা উচিত এবং বাকি তিনটি এমন ধরনের যা এআই কোডিং এজেন্টরা আসলেই লেখে। এরপর আমি এর উপর তিন দফা টুল চালিয়েছি: Gitleaks ও Trivy, Claude Code-এর বিল্ট-ইন /security-review, এবং Cloudflare-এর নতুন ওপেন-সোর্স security-audit স্কিল। এখানে দেওয়া হলো কোন টুল কোন বাগটি ধরেছে, Cloudflare স্কিলটি চালাতে কত খরচ হয়েছে, এআই-এর লেখা বাগগুলো স্ক্যানাররা কেন ধরতে পারে না, এবং এই সপ্তাহে আপনি সেট আপ করতে পারেন এমন তিনটি কার্যকরী নিরাপত্তা স্তর। সোশ্যাল মিডিয়া X: x.com লিঙ্কডইন: linkedin.com ইনস্টাগ্রাম: instagram.com কাজ ও যৌথ উদ্যোগ info@switchdimension.com রিসোর্স ক্লাউডফ্লেয়ার সিকিউরিটি-অডিট স্কিল: cloudflare/security-audit-skill নিজের ভালনারেবিলিটি হারনেস তৈরি করুন (ক্লাউডফ্লেয়ার): blog.cloudflare.com ক্লড কোড সিকিউরিটি রিভিউ: anthropics/claude-code-security-review গিটলিকস: gitleaks/gitleaks ট্রিভি: aquasecurity/trivy চমৎকার CVE-2025-48757 রাইট-আপ: mattpalmer.io Next.js CVE-2025-29927: api.osv.dev Shannon: KeygraphHQ/shannon Trail of Bits skills: trailofbits/skills OWASP ZAP: zaproxy/zaproxy Mozilla Observatory: developer.mozilla.org অধ্যায়সমূহ ০:০০ ভূমিকা ০:৪৩ কেন এআই-নির্মিত অ্যাপগুলো ভিন্নভাবে ভেঙে যায় ১:৩৮ লিককাস্টের সাথে পরিচিতি: ৬টি রোপিত বাগ ২:৩৩ পর্ব ১: বিনামূল্যের স্ক্যানারগুলো ৩:৩৫ পর্ব ২: ক্লড কোডের বিল্ট-ইন পর্যালোচনা ৪:৩০ রাউন্ড ৩: ক্লাউডফ্লেয়ারের নিরাপত্তা দক্ষতা ৬:৩৭ নিয়ন্ত্রণ: একটি সাধারণ প্রম্পট ৮:১১ স্কোরবোর্ড ৮:৫৮ বাস্তবসম্মত নিরাপত্তার তিনটি স্তর ১০:৪৮ উপসংহার #AISecurity #ClaudeCode #CursorAI #Cloudflare #NextJS #WebAppSecurity #VibeCoding #AppSec #AIDevelopment #AgentDevelopment #OWASP #CyberSecurity #Gitleaks [de-DE] Richte diese neue Sicherheitsfunktion ein, bevor es zu spät ist Agent Engineer Accelerator – switchdim.s.gy Ich habe eine Next.js-SaaS-Anwendung mit absichtlich eingebauten sechs Sicherheitslücken entwickelt: drei, die von klassischen Scannern erkannt werden sollten, und drei, die von KI-gesteuerten Agenten tatsächlich erzeugt werden. Anschließend habe ich drei Testrunden mit verschiedenen Tools durchgeführt: Gitleaks und Trivy, die integrierte Sicherheitsprüfung von Claude Code sowie Cloudflares neue Open-Source-Sicherheitsaudit-Funktion. Hier erfahren Sie, welches Tool welche Sicherheitslücke gefunden hat, welche Kosten die Ausführung der Cloudflare-Funktion verursacht hat, warum Scanner die von KI-gesteuerten Agenten am häufigsten erzeugten Sicherheitslücken übersehen und welche drei praktischen Sicherheitsstufen Sie diese Woche einrichten können. ... SOCIAL MEDIA X: x.com LinkedIn: linkedin.com Instagram: instagram.com ARBEIT & KOOPERATIONEN info@switchdimension.com RESSOURCEN Cloudflare-Sicherheitsaudit-Skill: cloudflare/security-audit-skill Eigene Sicherheitslückenanalyse erstellen (Cloudflare): blog.cloudflare.com Claude Code Security Review: anthropics/claude-code-security-review GitLeaks: gitleaks/gitleaks Trivy: aquasecurity/trivy Lovable CVE-2025-48757-Beschreibung: mattpalmer.io Next.js CVE-2025-29927: api.osv.dev Shannon: KeygraphHQ/shannon Trail of Bits Skills: trailofbits/skills OWASP ZAP: zaproxy/zaproxy Mozilla Observatory: developer.mozilla.org KAPITEL 0:00 Einleitung 0:43 Warum KI-gestützte Apps anders funktionieren 1:38 Leakcast: 6 versteckte Sicherheitslücken 2:33 Runde 1: Die kostenlosen Scanner 3:35 Runde 2: Claude Codes integrierte Überprüfung 4:30 Runde 3: Cloudflares Sicherheitskompetenz 6:37 Die Kontrolle: Eine einfache Aufgabe 8:11 Die Punktetafel 8:58 Drei Stufen pragmatischer Sicherheit 10:48 Abspann #KI-Sicherheit #ClaudeCode #CursorAI #Cloudflare #NextJS #WebAppSecurity #VibeCoding #AppSec #KI-Entwicklung #Agentenentwicklung #OWASP #CyberSecurity #GitLeaks [es-US] Configura esta nueva habilidad de seguridad antes de que sea demasiado tarde. Acelerador de Ingenieros de IA - switchdim.s.gy Desarrollé un SaaS con Next.js con intencionadamente 6 vulnerabilidades de seguridad: tres que los escáneres clásicos deberían detectar y tres del tipo que suelen escribir los agentes de codificación de IA. Luego, realicé tres pruebas con diferentes herramientas: Gitleaks y Trivy, la herramienta integrada /security-review de Claude Code y la nueva herramienta de código abierto security-audit de Cloudflare. Aquí te explico qué herramienta detectó cada vulnerabilidad, cuánto costó ejecutar la herramienta de Cloudflare, por qué los escáneres suelen pasar por alto las vulnerabilidades que escribe la IA y tres niveles prácticos de seguridad que puedes configurar esta semana. REDES SOCIALES X: x.com LinkedIn: linkedin.com Instagram: instagram.com TRABAJO Y COLABORACIONES info@switchdimension.com RECURSOS Habilidad de auditoría de seguridad de Cloudflare: cloudflare/security-audit-skill Crea tu propio sistema de análisis de vulnerabilidades (Cloudflare): blog.cloudflare.com Análisis de seguridad de Claude Code: anthropics/claude-code-security-review Gitleaks: gitleaks/gitleaks Trivy: aquasecurity/trivy Análisis de Lovable sobre CVE-2025-48757: mattpalmer.io Next.js CVE-2025-29927: api.osv.dev Shannon: KeygraphHQ/shannon Habilidades de Trail of Bits: trailofbits/skills OWASP ZAP: zaproxy/zaproxy Observatorio de Mozilla: developer.mozilla.org CAPÍTULOS 0:00 Introducción 0:43 Por qué las apps con IA fallan de forma diferente 1:38 Presentamos Leakcast: 6 errores plantados 2:33 Ronda 1: Los escáneres gratuitos 3:35 Ronda 2: Análisis integrado de Claude Code 4:30 Ronda 3: La habilidad de seguridad de Cloudflare 6:37 El control: Un simple mensaje 8:11 El marcador 8:58 Tres niveles de seguridad pragmática 10:48 Despedida #SeguridadIA #ClaudeCode #CursorAI #Cloudflare #NextJS #SeguridadAplicacionesWeb #VibeCoding #SeguridadAplicaciones #DesarrolloIA #DesarrolloDeAgentes #OWASP #Ciberseguridad #Gitleaks [fr-FR] Installez ce nouvel outil de sécurité avant qu'il ne soit trop tard Agent Engineer Accelerator - switchdim.s.gy J'ai développé une application SaaS Next.js avec six failles de sécurité intentionnelles : trois que les scanners classiques détectent et trois du type de celles que les agents de programmation IA écrivent réellement. J'ai ensuite effectué trois séries d'analyses avec différents outils : Gitleaks et Trivy, l'outil intégré `/security-review` de Claude Code et la nouvelle compétence open source `security-audit` de Cloudflare. Voici le résultat : quel outil a détecté quelle faille ? Quel est le coût d'exécution de la compétence Cloudflare ? Pourquoi les scanners passent-ils à côté des failles les plus courantes écrites par l'IA ? Et trois niveaux de sécurité pratiques que vous pouvez mettre en place dès cette semaine ? RÉSEAUX SOCIAUX X : x.com LinkedIn : linkedin.com Instagram : instagram.com PROFESSIONNELLE ET COLLABORATIONS info@switchdimension.com RESSOURCES Compétence d'audit de sécurité Cloudflare : cloudflare/security-audit-skill Créer son propre outil d'analyse des vulnérabilités (Cloudflare) : blog.cloudflare.com Claude Code Security Review : anthropics/claude-code-security-review Gitleaks : gitleaks/gitleaks Trivy : aquasecurity/trivy Article détaillé sur la CVE-2025-48757 : mattpalmer.io Next.js CVE-2025-29927 : api.osv.dev Shannon : KeygraphHQ/shannon Compétences Trail of Bits : trailofbits/skills OWASP ZAP : zaproxy/zaproxy Mozilla Observatory : developer.mozilla.org CHAPITRES 0:00 Introduction 0:43 Pourquoi les applications conçues avec l’IA présentent des dysfonctionnements différents 1:38 Présentation de Leakcast : 6 failles de sécurité 2:33 Manche 1 : Les scanners gratuits 3:35 Manche 2 : Claude Revue intégrée du code 4:30 Manche 3 : Compétences de sécurité de Cloudflare 6:37 Le contrôle : Une simple invite 8:11 Le tableau des scores 8:58 Trois niveaux de sécurité pragmatique 10:48 Conclusion #AISecurity #ClaudeCode #CursorAI #Cloudflare #NextJS #WebAppSecurity #VibeCoding #AppSec #AIDevelopment #AgentDevelopment #OWASP #CyberSecurity #Gitleaks [hi] देर होने से पहले इस नई सुरक्षा सुविधा को स्थापित करें एजेंट इंजीनियर एक्सेलेरेटर - switchdim.s.gy मैंने जानबूझकर 6 सुरक्षा बग्स के साथ एक Next.js SaaS बनाया, जिनमें से तीन ऐसे थे जिन्हें क्लासिक स्कैनर पकड़ लेते हैं और तीन ऐसे थे जिन्हें AI कोडिंग एजेंट लिखते हैं। फिर मैंने इस पर तीन तरह के टूल्स चलाए: Gitleaks और Trivy, Claude Code का बिल्ट-इन /security-review और Cloudflare का नया ओपन-सोर्स security-audit स्किल। यहां बताया गया है कि किस टूल ने कौन सा बग पकड़ा, Cloudflare स्किल को चलाने में कितना खर्च आया, स्कैनर AI द्वारा लिखे गए बग्स को क्यों नहीं पकड़ पाते, और सुरक्षा के तीन व्यावहारिक स्तर जिन्हें आप इस सप्ताह सेट अप कर सकते हैं। सोशल मीडिया X: x.com लिंक्डइन: linkedin.com इंस्टाग्राम: instagram.com कार्य और सहयोग info@switchdimension.com संसाधन Cloudflare सुरक्षा-ऑडिट कौशल: cloudflare/security-audit-skill अपनी स्वयं की भेद्यता सुरक्षा प्रणाली बनाएं (Cloudflare): blog.cloudflare.com Claude कोड सुरक्षा समीक्षा: anthropics/claude-code-security-review Gitleaks: gitleaks/gitleaks Trivy: aquasecurity/trivy Lovable CVE-2025-48757 का विवरण: mattpalmer.io Next.js CVE-2025-29927: api.osv.dev Shannon: KeygraphHQ/shannon Trail of Bits कौशल: trailofbits/skills OWASP ZAP: zaproxy/zaproxy Mozilla Observatory: developer.mozilla.org अध्याय 0:00 परिचय 0:43 AI-निर्मित ऐप्स अलग-अलग तरीके से क्यों विफल होते हैं 1:38 Leakcast से मिलें: 6 जानबूझकर बनाए गए बग 2:33 पहला दौर: मुफ़्त स्कैनर 3:35 दूसरा दौर 2: क्लाउड कोड की अंतर्निहित समीक्षा 4:30 तीसरा दौर: क्लाउडफ्लेयर का सुरक्षा कौशल 6:37 नियंत्रण: एक सरल प्रॉम्प्ट 8:11 स्कोरबोर्ड 8:58 व्यावहारिक सुरक्षा के तीन स्तर 10:48 समापन #AISecurity #ClaudeCode #CursorAI #Cloudflare #NextJS #WebAppSecurity #VibeCoding #AppSec #AIDevelopment #AgentDevelopment #OWASP #CyberSecurity #Gitleaks [id] Pasang Skill Keamanan Baru Ini Sebelum Terlambat Akselerator Insinyur Agen - switchdim.s.gy Saya membangun SaaS Next.js dengan 6 bug keamanan secara sengaja, tiga yang seharusnya ditangkap oleh pemindai klasik dan tiga jenis bug yang sebenarnya ditulis oleh agen pengkodean AI, kemudian menjalankan tiga putaran pengujian dengan berbagai alat: Gitleaks dan Trivy, /security-review bawaan Claude Code, dan skill audit keamanan sumber terbuka baru dari Cloudflare. Berikut adalah alat mana yang menangkap bug mana, berapa biaya menjalankan skill Cloudflare, mengapa pemindai melewatkan bug yang paling sering ditulis oleh AI, dan tiga tingkat keamanan praktis yang dapat Anda siapkan minggu ini. MEDIA SOSIAL X: x.com LinkedIn: linkedin.com Instagram: instagram.com KERJA & KOLABORASI info@switchdimension.com SUMBER DAYA Cloudflare security-audit skill: cloudflare/security-audit-skill Buat sendiri alat pendeteksi kerentanan Anda (Cloudflare): blog.cloudflare.com Claude Code Security Review: anthropics/claude-code-security-review Gitleaks: gitleaks/gitleaks Trivy: aquasecurity/trivy Penjelasan CVE-2025-48757 yang menarik: mattpalmer.io Next.js CVE-2025-29927: api.osv.dev Shannon: KeygraphHQ/shannon Keterampilan Trail of Bits: trailofbits/skills OWASP ZAP: zaproxy/zaproxy Mozilla Observatory: developer.mozilla.org BAB 0:00 Pendahuluan 0:43 Mengapa Aplikasi Buatan AI Rusak Secara Berbeda 1:38 Mengenal Leakcast: 6 Bug yang Ditanam 2:33 Babak 1: Pemindai Gratis 3:35 Babak 2: Fitur Bawaan Claude Code Ulasan 4:30 Babak 3: Kemampuan Keamanan Cloudflare 6:37 Kontrol: Satu Perintah Sederhana 8:11 Papan Skor 8:58 Tiga Tingkat Keamanan Pragmatis 10:48 Penutup #AISecurity #ClaudeCode #CursorAI #Cloudflare #NextJS #WebAppSecurity #VibeCoding #AppSec #AIDevelopment #AgentDevelopment #OWASP #CyberSecurity #Gitleaks [it] Configura questa nuova competenza di sicurezza prima che sia troppo tardi Acceleratore per ingegneri di agenti - switchdim.s.gy Ho creato un SaaS Next.js con 6 vulnerabilità di sicurezza, tre delle quali dovrebbero essere rilevate dagli scanner classici e tre del tipo che gli agenti di programmazione basati sull'IA scrivono effettivamente. Ho poi eseguito tre cicli di test con diversi strumenti: Gitleaks e Trivy, la funzionalità integrata /security-review di Claude Code e la nuova funzionalità open source di audit di sicurezza di Cloudflare. Ecco quale strumento ha rilevato quale vulnerabilità, quanto è costata l'esecuzione della funzionalità di Cloudflare, perché gli scanner non rilevano le vulnerabilità più comuni scritte dall'IA e tre livelli di sicurezza pratici che puoi impostare questa settimana. SOCIAL X: x.com LinkedIn: linkedin.com Instagram: instagram.com LAVORO E COLLABORAZIONI info@switchdimension.com RISORSE Skill di audit di sicurezza di Cloudflare: cloudflare/security-audit-skill Crea il tuo strumento di analisi delle vulnerabilità (Cloudflare): blog.cloudflare.com Analisi della sicurezza di Claude Code: anthropics/claude-code-security-review Gitleaks: gitleaks/gitleaks Trivy: aquasecurity/trivy Articolo di Lovable sulla vulnerabilità CVE-2025-48757: Italiano: mattpalmer.io Next.js CVE-2025-29927: api.osv.dev Shannon: KeygraphHQ/shannon Skill di Trail of Bits: trailofbits/skills OWASP ZAP: zaproxy/zaproxy Mozilla Observatory: developer.mozilla.org CAPITOLI 0:00 Introduzione 0:43 Perché le app basate sull'IA si comportano in modo diverso 1:38 Presentazione di Leakcast: 6 bug nascosti 2:33 Round 1: Gli scanner gratuiti 3:35 Round 2: Revisione integrata di Claude Code 4:30 Round 3: La competenza di sicurezza di Cloudflare 6:37 Il controllo: un semplice prompt 8:11 Il punteggio 8:58 Tre livelli di sicurezza pragmatica 10:48 Conclusione #AISecurity #ClaudeCode #CursorAI #Cloudflare #NextJS #WebAppSecurity #VibeCoding #AppSec #AIDevelopment #AgentDevelopment #OWASP #CyberSecurity #Gitleaks [iw] הגדירו את כלי האבטחה החדש הזה לפני שיהיה מאוחר מדי מאיץ מהנדסי סוכנים - switchdim.s.gy בניתי תוכנת SaaS של Next.js עם 6 באגים אבטחה בכוונה, שלושה שסורקים קלאסיים אמורים לתפוס ושלושה סוכני קידוד בינה מלאכותית מהסוג שבאמת כותבים, ואז הרצתי שלושה סבבים של כלים נגדם: Gitleaks ו-Trivy, /security-review המובנה של Claude Code, ומיומנות ביקורת האבטחה החדשה בקוד פתוח של Cloudflare. הנה איזה כלי תפס איזה באג, כמה עלה להפעיל את מיומנות Cloudflare, מדוע סורקים מפספסים את הבאגים שהבינה המלאכותית כותבת הכי הרבה, ושלוש רמות אבטחה מעשיות שתוכלו להגדיר השבוע. מדיה חברתית X: x.com LinkedIn: linkedin.com Instagram: instagram.com עבודה ושיתופי פעולה info@switchdimension.com משאבים כישור ביקורת אבטחה של Cloudflare: cloudflare/security-audit-skill בנה רתמת פגיעויות משלך (Cloudflare): blog.cloudflare.com סקירת אבטחה של Claude Code: anthropics/claude-code-security-review Gitleaks: gitleaks/gitleaks Trivy: aquasecurity/trivy כתבה חביבה על CVE-2025-48757: mattpalmer.io Next.js CVE-2025-29927: api.osv.dev שאנון: KeygraphHQ/shannon מיומנויות של Trail of Bits: trailofbits/skills OWASP ZAP: zaproxy/zaproxy Mozilla Observatory: developer.mozilla.org פרקים 0:00 מבוא 0:43 מדוע אפליקציות שנבנו על ידי בינה מלאכותית מתקלקלות בצורה שונה 1:38 הכירו את Leakcast: 6 באגים שתלו 2:33 סיבוב 1: הסורקים החינמיים 3:35 סיבוב 2: התכונות המובנות של Claude Code סקירה 4:30 סיבוב 3: מיומנות האבטחה של Cloudflare 6:37 הבקרה: הנחיה פשוטה אחת 8:11 לוח התוצאות 8:58 שלוש רמות של אבטחה פרגמטית 10:48 סיום #אבטחתAI #ClaudeCode #CursorAI #Cloudflare #NextJS #אבטחתאפליקציותWeb #VibeCoding #אבטחתאפליקציות #פיתוחAI #פיתוחסוכנים #OWASP #אבטחתסייבר #Gitleaks [ja] 手遅れになる前にこの新しいセキュリティスキルを導入しよう エージェントエンジニアアクセラレーター - switchdim.s.gy 私は意図的に6つのセキュリティバグを含むNext.js SaaSを構築しました。そのうち3つは従来のセキュリティスキャナーで検出できるはずのバグ、残りの3つはAIコーディングエージェントが実際に記述するタイプのバグです。そして、GitleaksとTrivy、Claude Codeの組み込み機能である/security-review、Cloudflareの新しいオープンソースのsecurity-auditスキルという3つのツールでテストを行いました。どのツールがどのバグを検出したか、Cloudflareスキルの実行コスト、AIが最も多く記述するバグをスキャナーが見逃す理由、そして今週中に設定できる3つの実用的なセキュリティレベルについて解説します。 ソーシャルメディア X: x.com LinkedIn: linkedin.com Instagram: instagram.com 仕事とコラボレーション info@switchdimension.com リソース Cloudflareセキュリティ監査スキル: cloudflare/security-audit-skill 独自の脆弱性ハーネスの構築 (Cloudflare): blog.cloudflare.com Claude Code Security Review: anthropics/claude-code-security-review Gitleaks: gitleaks/gitleaks Trivy: aquasecurity/trivy Lovable CVE-2025-48757 解説記事: mattpalmer.io Next.js CVE-2025-29927: api.osv.dev Shannon: KeygraphHQ/shannon Trail of Bits スキル: trailofbits/skills OWASP ZAP: zaproxy/zaproxy Mozilla Observatory: developer.mozilla.org チャプター 0:00 はじめに 0:43 AI で構築されたアプリがなぜ異なる不具合を起こすのか 1:38 Leakcast のご紹介: 6 つの仕掛けられたバグ 2:33 第 1 ラウンド: 無料スキャナー 3:35 第 2 ラウンド: Claude Code の組み込みレビュー 4:30 第3ラウンド：Cloudflareのセキュリティスキル 6:37 コントロール：シンプルなプロンプト 8:11 スコアボード 8:58 実用的なセキュリティの3つのレベル 10:48 エンディング #AISecurity #ClaudeCode #CursorAI #Cloudflare #NextJS #WebAppSecurity #VibeCoding #AppSec #AIDevelopment #AgentDevelopment #OWASP #CyberSecurity #Gitleaks [ko] 늦기 전에 이 새로운 보안 스킬을 설정하세요 에이전트 엔지니어 액셀러레이터 - switchdim.s.gy 일부러 6개의 보안 버그를 포함한 Next.js SaaS를 구축했습니다. 이 중 3개는 기존 스캐너가 잡아낼 수 있는 버그이고, 나머지 3개는 AI 에이전트가 실제로 작성하는 유형의 버그입니다. 그런 다음 Gitleaks와 Trivy, Claude Code의 내장 보안 검토 도구, 그리고 Cloudflare의 새로운 오픈 소스 보안 감사 스킬 등 세 가지 도구를 사용하여 보안 검사를 실행했습니다. 각 도구가 어떤 버그를 잡아냈는지, Cloudflare 스킬 실행 비용은 얼마였는지, 스캐너가 AI가 작성하는 버그를 가장 많이 놓치는 이유는 무엇인지, 그리고 이번 주에 설정할 수 있는 세 가지 실용적인 보안 수준을 소개합니다. 소셜 미디어 X: x.com LinkedIn: linkedin.com Instagram: instagram.com 협업 및 협업 info@switchdimension.com 자료 Cloudflare 보안 감사 스킬: cloudflare/security-audit-skill Cloudflare를 활용한 자체 취약점 탐지 도구 구축: blog.cloudflare.com Claude Code 보안 리뷰: anthropics/claude-code-security-review Gitleaks: gitleaks/gitleaks Trivy: aquasecurity/trivy CVE-2025-48757 관련 유용한 자료: mattpalmer.io Next.js CVE-2025-29927: api.osv.dev Shannon: KeygraphHQ/shannon Trail of Bits 스킬: trailofbits/skills OWASP ZAP: zaproxy/zaproxy Mozilla Observatory: developer.mozilla.org 목차 0:00 소개 0:43 AI 기반 앱이 다르게 작동하는 이유 1:38 Leakcast 소개: 심어진 6가지 버그 2:33 1라운드: 무료 스캐너 3:35 2라운드: Claude Code의 내장 리뷰 4:30 3라운드: Cloudflare의 보안 스킬 6:37 컨트롤: 하나의 간단한 프롬프트 8:11 점수판 8:58 실용적인 보안의 세 가지 수준 10:48 마무리 #AISecurity #ClaudeCode #CursorAI #Cloudflare #NextJS #WebAppSecurity #VibeCoding #AppSec #AIDevelopment #AgentDevelopment #OWASP #CyberSecurity #Gitleaks [ml] വൈകുന്നതിന് മുൻപ് ഈ പുതിയ സുരക്ഷാ സംവിധാനം സജ്ജമാക്കൂ ഏജന്റ് എഞ്ചിനീയർ ആക്സിലറേറ്റർ - switchdim.s.gy 6 സുരക്ഷാ ബഗുകൾ ഉപയോഗിച്ച് ഞാൻ ഒരു Next.js SaaS നിർമ്മിച്ചു, അതിൽ ക്ലാസിക് സ്കാനറുകൾ പിടിക്കേണ്ട മൂന്ന് ബഗുകളും യഥാർത്ഥത്തിൽ എഴുതുന്ന തരത്തിലുള്ള മൂന്ന് AI കോഡിംഗ് ഏജന്റുകളും ഉൾപ്പെടുന്നു, തുടർന്ന് അതിനെതിരെ മൂന്ന് റൗണ്ട് ഉപകരണങ്ങൾ പ്രവർത്തിപ്പിച്ചു: Gitleaks ഉം Trivy ഉം, Claude Code-ന്റെ ബിൽറ്റ്-ഇൻ /security-review, Cloudflare-ന്റെ പുതിയ ഓപ്പൺ-സോഴ്സ് സുരക്ഷാ-ഓഡിറ്റ് സ്കിൽ. ഏത് ടൂൾ ഏത് ബഗാണ് കണ്ടെത്തിയത്, Cloudflare സ്കിൽ പ്രവർത്തിപ്പിക്കാൻ എത്ര ചിലവാകും, AI ഏറ്റവും കൂടുതൽ എഴുതുന്ന ബഗുകൾ സ്കാനറുകൾ എന്തുകൊണ്ട് നഷ്ടപ്പെടുത്തുന്നു, ഈ ആഴ്ച നിങ്ങൾക്ക് സജ്ജമാക്കാൻ കഴിയുന്ന മൂന്ന് പ്രായോഗിക സുരക്ഷാ തലങ്ങൾ ഇതാ. സോഷ്യൽസ് X: x.com ലിങ്ക്ഡ്ഇൻ: linkedin.com ഇൻസ്റ്റാഗ്രാം: instagram.com വർക്ക് & കോൾലാബ്സ് info@switchdimension.com റിസോഴ്സസ് ക്ലൗഡ്ഫ്ലെയർ സെക്യൂരിറ്റി-ഓഡിറ്റ് സ്കിൽ: cloudflare/security-audit-skill നിങ്ങളുടെ സ്വന്തം വൾനറബിലിറ്റി ഹാർനെസ് നിർമ്മിക്കുക (ക്ലൗഡ്ഫ്ലെയർ): blog.cloudflare.com ക്ലോഡ് കോഡ് സെക്യൂരിറ്റി അവലോകനം: anthropics/claude-code-security-review Gitleaks: gitleaks/gitleaks Trivy: aquasecurity/trivy ലവബിൾ CVE-2025-48757 എഴുത്ത്: mattpalmer.io Next.js CVE-2025-29927: api.osv.dev ഷാനൻ: KeygraphHQ/shannon ബിറ്റ്സ് കഴിവുകളുടെ പാത: trailofbits/skills OWASP ZAP: zaproxy/zaproxy മോസില്ല ഒബ്സർവേറ്ററി: developer.mozilla.org ചാപ്റ്ററുകൾ 0:00 ആമുഖം 0:43 AI-ബിൽറ്റ് ആപ്പുകൾ വ്യത്യസ്തമായി തകരാറിലാകുന്നത് എന്തുകൊണ്ട് 1:38 ലീക്ക്കാസ്റ്റിനെ കണ്ടുമുട്ടുക: 6 നട്ടുപിടിപ്പിച്ച ബഗുകൾ 2:33 റൗണ്ട് 1: സൗജന്യ സ്കാനറുകൾ 3:35 റൗണ്ട് 2: ക്ലോഡ് കോഡ്സ് ബിൽറ്റ്-ഇൻ അവലോകനം 4:30 മൂന്നാം റൗണ്ട്: ക്ലൗഡ്ഫ്ലെയറിന്റെ സുരക്ഷാ വൈദഗ്ദ്ധ്യം 6:37 നിയന്ത്രണം: ഒരു പ്ലെയിൻ പ്രോംപ്റ്റ് 8:11 സ്കോർബോർഡ് 8:58 പ്രായോഗിക സുരക്ഷയുടെ മൂന്ന് തലങ്ങൾ 10:48 ഔട്ട്റോ #AISecurity #ClaudeCode #CursorAI #Cloudflare #NextJS #WebAppSecurity #VibeCoding #AppSec #AIDevelopment #AgentDevelopment #OWASP #CyberSecurity #Gitleaks [nl-NL] Stel deze nieuwe beveiligingsvaardigheid in voordat het te laat is Agent Engineer Accelerator - switchdim.s.gy Ik heb een Next.js SaaS-applicatie gebouwd met opzettelijk 6 beveiligingslekken: drie die klassieke scanners zouden moeten detecteren en drie van het type dat AI-codeeragenten daadwerkelijk schrijven. Vervolgens heb ik drie testrondes uitgevoerd met tools: GitLaks en Trivy, de ingebouwde /security-review van Claude Code en de nieuwe open-source security-audit skill van Cloudflare. Hieronder lees je welke tool welk lekken detecteerde, wat de kosten waren voor het uitvoeren van de Cloudflare skill, waarom scanners de meeste door AI geschreven lekken missen en drie praktische beveiligingsniveaus die je deze week nog kunt instellen. SOCIALE MEDIA X: x.com LinkedIn: linkedin.com Instagram: instagram.com WERK & SAMENWERKINGEN info@switchdimension.com BRONNEN Cloudflare security-audit skill: cloudflare/security-audit-skill Bouw je eigen vulnerability harness (Cloudflare): blog.cloudflare.com Claude Code Security Review: anthropics/claude-code-security-review Gitleaks: gitleaks/gitleaks Trivy: aquasecurity/trivy Lovable CVE-2025-48757 write-up: mattpalmer.io Next.js CVE-2025-29927: api.osv.dev Shannon: KeygraphHQ/shannon Trail of Bits skills: trailofbits/skills OWASP ZAP: zaproxy/zaproxy Mozilla Observatory: developer.mozilla.org HOOFDSTUKKEN 0:00 Intro 0:43 Waarom door AI gebouwde apps anders crashen 1:38 Maak kennis met Leakcast: 6 geplante bugs 2:33 Ronde 1: De gratis scanners 3:35 Ronde 2: Claude Code's Ingebouwde review 4:30 Ronde 3: Cloudflare's beveiligingsvaardigheden 6:37 De controle: één simpele prompt 8:11 Het scorebord 8:58 Drie niveaus van pragmatische beveiliging 10:48 Outro #AISecurity #ClaudeCode #CursorAI #Cloudflare #NextJS #WebAppSecurity #VibeCoding #AppSec #AIDevelopment #AgentDevelopment #OWASP #CyberSecurity #Gitleaks [pa] ਦੇਰ ਹੋਣ ਤੋਂ ਪਹਿਲਾਂ ਇਸ ਨਵੀਂ ਸੁਰੱਖਿਆ ਸਕਿੱਲ ਨੂੰ ਸੈੱਟਅੱਪ ਕਰੋ ਏਜੰਟ ਇੰਜੀਨੀਅਰ ਐਕਸਲੇਟਰ - switchdim.s.gy ਮੈਂ ਜਾਣਬੁੱਝ ਕੇ 6 ਸੁਰੱਖਿਆ ਬੱਗਾਂ ਨਾਲ ਇੱਕ Next.js SaaS ਬਣਾਇਆ, ਤਿੰਨ ਉਹ ਜੋ ਕਲਾਸਿਕ ਸਕੈਨਰਾਂ ਨੂੰ ਫੜਨੇ ਚਾਹੀਦੇ ਹਨ ਅਤੇ ਤਿੰਨ ਅਜਿਹੇ AI ਕੋਡਿੰਗ ਏਜੰਟ ਅਸਲ ਵਿੱਚ ਲਿਖਦੇ ਹਨ, ਫਿਰ ਇਸਦੇ ਵਿਰੁੱਧ ਤਿੰਨ ਦੌਰ ਦੇ ਟੂਲ ਚਲਾਏ: Gitleaks ਅਤੇ Trivy, Claude Code ਦਾ ਬਿਲਟ-ਇਨ /security-review, ਅਤੇ Cloudflare ਦਾ ਨਵਾਂ ਓਪਨ-ਸੋਰਸ ਸੁਰੱਖਿਆ-ਆਡਿਟ ਹੁਨਰ। ਇੱਥੇ ਦੱਸਿਆ ਗਿਆ ਹੈ ਕਿ ਕਿਹੜੇ ਟੂਲ ਨੇ ਕਿਹੜਾ ਬੱਗ ਫੜਿਆ, Cloudflare ਹੁਨਰ ਨੂੰ ਚਲਾਉਣ ਲਈ ਕਿੰਨੀ ਕੀਮਤ ਹੈ, ਸਕੈਨਰ AI ਦੁਆਰਾ ਸਭ ਤੋਂ ਵੱਧ ਲਿਖਣ ਵਾਲੇ ਬੱਗਾਂ ਨੂੰ ਕਿਉਂ ਖੁੰਝਾਉਂਦੇ ਹਨ, ਅਤੇ ਸੁਰੱਖਿਆ ਦੇ ਤਿੰਨ ਵਿਹਾਰਕ ਪੱਧਰ ਜੋ ਤੁਸੀਂ ਇਸ ਹਫ਼ਤੇ ਸੈੱਟ ਕਰ ਸਕਦੇ ਹੋ। ਸਮਾਜਿਕ X: x.com ਲਿੰਕਡਇਨ: linkedin.com ਇੰਸਟਾਗ੍ਰਾਮ: instagram.com ਕੰਮ ਅਤੇ ਸਹਿਯੋਗ info@switchdimension.com ਸਰੋਤ Cloudflare ਸੁਰੱਖਿਆ-ਆਡਿਟ ਹੁਨਰ: cloudflare/security-audit-skill ਆਪਣੀ ਖੁਦ ਦੀ ਕਮਜ਼ੋਰੀ ਹਾਰਨੈੱਸ ਬਣਾਓ (Cloudflare): blog.cloudflare.com ਕਲਾਉਡ ਕੋਡ ਸੁਰੱਖਿਆ ਸਮੀਖਿਆ: anthropics/claude-code-security-review Gitleaks: gitleaks/gitleaks ਟ੍ਰਾਈਵੀ: aquasecurity/trivy Lovable CVE-2025-48757 ਲਿਖਣਾ: mattpalmer.io Next.js CVE-2025-29927: api.osv.dev ਸ਼ੈਨਨ: KeygraphHQ/shannon ਬਿਟਸ ਹੁਨਰਾਂ ਦਾ ਟ੍ਰੇਲ: trailofbits/skills OWASP ZAP: zaproxy/zaproxy ਮੋਜ਼ੀਲਾ ਆਬਜ਼ਰਵੇਟਰੀ: developer.mozilla.org ਅਧਿਆਇ 0:00 ਜਾਣ-ਪਛਾਣ 0:43 AI-ਬਿਲਟ ਐਪਸ ਵੱਖਰੇ ਢੰਗ ਨਾਲ ਕਿਉਂ ਟੁੱਟਦੇ ਹਨ 1:38 ਲੀਕਕਾਸਟ ਨੂੰ ਮਿਲੋ: 6 ਲਗਾਏ ਗਏ ਬੱਗ 2:33 ਰਾਊਂਡ 1: ਮੁਫ਼ਤ ਸਕੈਨਰ 3:35 ਰਾਊਂਡ 2: ਕਲਾਉਡ ਕੋਡ ਦਾ ਬਿਲਟ-ਇਨ ਸਮੀਖਿਆ 4:30 ਰਾਊਂਡ 3: ਕਲਾਉਡਫਲੇਅਰ ਦਾ ਸੁਰੱਖਿਆ ਹੁਨਰ 6:37 ਕੰਟਰੋਲ: ਇੱਕ ਸਾਦਾ ਪ੍ਰੋਂਪਟ 8:11 ਸਕੋਰਬੋਰਡ 8:58 ਵਿਹਾਰਕ ਸੁਰੱਖਿਆ ਦੇ ਤਿੰਨ ਪੱਧਰ 10:48 ਆਊਟਰੋ #AISecurity #ClaudeCode #CursorAI #Cloudflare #NextJS #WebAppSecurity #VibeCoding #AppSec #AIDevelopment #AgentDevelopment #OWASP #CyberSecurity #Gitleaks [pl] Wdróż tę nową umiejętność zabezpieczającą, zanim będzie za późno Agent Engineer Accelerator - switchdim.s.gy Stworzyłem oprogramowanie SaaS Next.js z 6 celowo wykrytymi błędami bezpieczeństwa, z czego 3 powinny być wychwytywane przez klasyczne skanery, a 3 to błędy w kodzie AI, które faktycznie tworzą agenci. Następnie uruchomiłem trzy rundy testów narzędzi: Gitleaks i Trivy, wbudowane narzędzie /security-review Claude'a Code'a oraz nową, otwartą umiejętność audytu bezpieczeństwa Cloudflare. Oto, które narzędzie wykryło który błąd, ile kosztuje uruchomienie umiejętności Cloudflare, dlaczego skanery pomijają błędy najczęściej wykryte przez AI, oraz trzy praktyczne poziomy bezpieczeństwa, które możesz skonfigurować w tym tygodniu. MEDIA SPOŁECZNOŚCIOWE X: x.com LinkedIn: linkedin.com Instagram: instagram.com PRACA I WSPÓŁPRACA info@switchdimension.com ZASOBY Umiejętności audytu bezpieczeństwa Cloudflare: cloudflare/security-audit-skill Zbuduj własną uprząż do wykrywania luk w zabezpieczeniach (Cloudflare): blog.cloudflare.com Przegląd zabezpieczeń Claude Code: anthropics/claude-code-security-review Gitleaks: gitleaks/gitleaks Trivy: aquasecurity/trivy Uroczy Opis CVE-2025-48757: mattpalmer.io Next.js CVE-2025-29927: api.osv.dev Shannon: KeygraphHQ/shannon Trail of Bits Skills: trailofbits/skills OWASP ZAP: zaproxy/zaproxy Mozilla Observatory: developer.mozilla.org ROZDZIAŁY 0:00 Wprowadzenie 0:43 Dlaczego aplikacje tworzone przez AI psują się inaczej 1:38 Poznaj Leakcast: 6 Planted Błędy 2:33 Runda 1: Darmowe skanery 3:35 Runda 2: Wbudowana recenzja Claude Code'a 4:30 Runda 3: Umiejętność bezpieczeństwa Cloudflare 6:37 Kontrola: Jeden prosty komunikat 8:11 Tablica wyników 8:58 Trzy poziomy pragmatycznego bezpieczeństwa 10:48 Outro #AISecurity #ClaudeCode #CursorAI #Cloudflare #NextJS #WebAppSecurity #VibeCoding #AppSec #AIDevelopment #AgentDevelopment #OWASP #Cyberbezpieczeństwo #Gitleaks [pt-BR] Configure essa nova habilidade de segurança antes que seja tarde demais Acelerador de Engenheiros de Agentes - switchdim.s.gy Criei um SaaS Next.js com 6 bugs de segurança propositalmente: três que scanners clássicos deveriam detectar e três do tipo que agentes de IA realmente escrevem. Em seguida, executei três rodadas de testes com ferramentas: Gitleaks e Trivy, a ferramenta integrada /security-review do Claude Code e a nova skill de código aberto security-audit da Cloudflare. Aqui está o que você encontra sobre qual ferramenta detectou cada bug, o custo de execução da skill da Cloudflare, por que os scanners não detectam os bugs mais comuns escritos por IA e três níveis práticos de segurança que você pode configurar esta semana. REDES SOCIAIS X: x.com LinkedIn: linkedin.com Instagram: instagram.com TRABALHO E COLABORAÇÕES info@switchdimension.com RECURSOS Habilidade de auditoria de segurança da Cloudflare: cloudflare/security-audit-skill Crie sua própria ferramenta de análise de vulnerabilidades (Cloudflare): blog.cloudflare.com Análise de segurança do Claude Code: anthropics/claude-code-security-review Gitleaks: gitleaks/gitleaks Trivy: aquasecurity/trivy Análise da vulnerabilidade CVE-2025-48757: mattpalmer.io Next.js CVE-2025-29927: api.osv.dev Shannon: KeygraphHQ/shannon Skills do Trail of Bits: trailofbits/skills OWASP ZAP: zaproxy/zaproxy Mozilla Observatory: developer.mozilla.org CAPÍTULOS 0:00 Introdução 0:43 Por que os aplicativos criados com IA quebram de forma diferente 1:38 Conheça o Leakcast: 6 bugs plantados 2:33 Rodada 1: Os scanners gratuitos 3:35 Rodada 2: Claude Revisão integrada do Code 4:30 Rodada 3: Habilidade de segurança da Cloudflare 6:37 O controle: um prompt simples 8:11 O placar 8:58 Três níveis de segurança pragmática 10:48 Encerramento #AISecurity #ClaudeCode #CursorAI #Cloudflare #NextJS #WebAppSecurity #VibeCoding #AppSec #AIDevelopment #AgentDevelopment #OWASP #CyberSecurity #Gitleaks [ru] Настройте этот новый навык безопасности, пока не поздно! Акселератор для инженеров-агентов - switchdim.s.gy Я создал SaaS-приложение на Next.js с шестью уязвимостями безопасности, три из которых должны обнаруживать классические сканеры, а три — те, которые действительно создают агенты ИИ. Затем я протестировал его с помощью трех инструментов: Gitleaks и Trivy, встроенного инструмента /security-review от Claude Code и нового навыка аудита безопасности с открытым исходным кодом от Cloudflare. Вот какой инструмент обнаружил какую уязвимость, сколько стоит запуск навыка Cloudflare, почему сканеры пропускают наиболее часто создаваемые ИИ уязвимости, и три практических уровня безопасности, которые вы можете настроить на этой неделе. СОЦИАЛЬНЫЕ СЕТИ X: x.com LinkedIn: linkedin.com Instagram: instagram.com РАБОТА И СОТРУДНИЧЕСТВО info@switchdimension.com РЕСУРСЫ Навык аудита безопасности Cloudflare: cloudflare/security-audit-skill Создайте свой собственный инструмент для проверки уязвимостей (Cloudflare): blog.cloudflare.com Обзор безопасности кода Клода: anthropics/claude-code-security-review Gitleaks: gitleaks/gitleaks Trivy: aquasecurity/trivy Любимая CVE-2025-48757 Статья: mattpalmer.io CVE-2025-29927 для Next.js: api.osv.dev Шеннон: KeygraphHQ/shannon Навыки Trail of Bits: trailofbits/skills OWASP ZAP: zaproxy/zaproxy Mozilla Observatory: developer.mozilla.org РАЗДЕЛЫ 0:00 Вступление 0:43 Почему приложения, созданные с помощью ИИ, ломаются по-разному 1:38 Знакомьтесь, Leakcast: 6 внедренных ошибок 2:33 Раунд 1: Бесплатный Сканеры 3:35 Раунд 2: Обзор встроенных функций Claude Code 4:30 Раунд 3: Навыки безопасности Cloudflare 6:37 Управление: Один простой запрос 8:11 Таблица результатов 8:58 Три уровня прагматичной безопасности 10:48 Заключение #AISecurity #ClaudeCode #CursorAI #Cloudflare #NextJS #WebAppSecurity #VibeCoding #AppSec #AIDevelopment #AgentDevelopment #OWASP #CyberSecurity #Gitleaks [ta] தாமதமாகும் முன் இந்த புதிய பாதுகாப்புத் திறனை அமைத்துவிடுங்கள் ஏஜென்ட் இன்ஜினியர் ஆக்சிலரேட்டர் - switchdim.s.gy நான் வேண்டுமென்றே 6 பாதுகாப்புப் பிழைகளுடன் ஒரு Next.js SaaS-ஐ உருவாக்கினேன்; அவற்றில் மூன்று, வழக்கமான ஸ்கேனர்களால் கண்டறியக்கூடியவை, மற்ற மூன்று, AI கோடிங் ஏஜென்ட்கள் உண்மையில் எழுதும் வகையைச் சேர்ந்தவை. பின்னர், அதன் மீது மூன்று சுற்றுகளாக கருவிகளை இயக்கினேன்: Gitleaks மற்றும் Trivy, Claude Code-இன் உள்ளமைக்கப்பட்ட /security-review, மற்றும் Cloudflare-இன் புதிய ஓப்பன்-சோர்ஸ் செக்யூரிட்டி-ஆடிட் ஸ்கில். எந்தக் கருவி எந்தப் பிழையைக் கண்டறிந்தது, Cloudflare ஸ்கில்லை இயக்க எவ்வளவு செலவானது, AI எழுதும் பிழைகளை ஸ்கேனர்கள் ஏன் தவறவிடுகின்றன, மற்றும் இந்த வாரம் நீங்கள் அமைக்கக்கூடிய மூன்று நடைமுறைப் பாதுகாப்பு நிலைகள் ஆகியவை இங்கே கொடுக்கப்பட்டுள்ளன. சமூக வலைத்தளங்கள் X: x.com LinkedIn: linkedin.com Instagram: instagram.com பணிகள் மற்றும் கூட்டுப்பணிகள் info@switchdimension.com வளங்கள் Cloudflare security-audit skill: cloudflare/security-audit-skill உங்களுக்கென சொந்த பாதிப்புத் தடுப்பு அமைப்பை உருவாக்குங்கள் (Cloudflare): blog.cloudflare.com Claude Code Security Review: anthropics/claude-code-security-review Gitleaks: gitleaks/gitleaks Trivy: aquasecurity/trivy Lovable CVE-2025-48757 பற்றிய விளக்கம்: mattpalmer.io Next.js CVE-2025-29927: api.osv.dev ஷானன்: KeygraphHQ/shannon Trail of Bits skills: trailofbits/skills OWASP ZAP: zaproxy/zaproxy மொஸில்லா அப்சர்வேட்டரி: developer.mozilla.org அத்தியாயங்கள் 0:00 அறிமுகம் 0:43 செயற்கை நுண்ணறிவால் உருவாக்கப்பட்ட செயலிகள் ஏன் வித்தியாசமாகச் செயலிழக்கின்றன 1:38 லீக்காஸ்ட்டைச் சந்தியுங்கள்: 6 பதிக்கப்பட்ட பிழைகள் 2:33 சுற்று 1: இலவச ஸ்கேனர்கள் 3:35 சுற்று 2: கிளாட் கோடின் உள்ளமைக்கப்பட்ட மதிப்பாய்வு 4:30 சுற்று 3: கிளவுட்ஃபிளேரின் பாதுகாப்புத் திறன் 6:37 கட்டுப்பாடு: ஒரு எளிய கட்டளை 8:11 மதிப்பெண் பலகை 8:58 நடைமுறைப் பாதுகாப்பின் மூன்று நிலைகள் 10:48 முடிவுரை #AISecurity #ClaudeCode #CursorAI #Cloudflare #NextJS #WebAppSecurity #VibeCoding #AppSec #AIDevelopment #AgentDevelopment #OWASP #CyberSecurity #Gitleaks [te] ఆలస్యం కాకముందే ఈ కొత్త భద్రతా నైపుణ్యాన్ని ఏర్పాటు చేసుకోండి ఏజెంట్ ఇంజనీర్ యాక్సిలరేటర్ - switchdim.s.gy నేను ఉద్దేశపూర్వకంగా 6 సెక్యూరిటీ బగ్స్తో ఒక Next.js SaaSను రూపొందించాను. వాటిలో మూడు క్లాసిక్ స్కానర్లు పట్టుకోగలిగేవి కాగా, మిగిలిన మూడు AI కోడింగ్ ఏజెంట్లు వాస్తవంగా రాసే రకానికి చెందినవి. ఆ తర్వాత దానిపై మూడు రౌండ్ల టూల్స్ను రన్ చేశాను: Gitleaks మరియు Trivy, Claude Code యొక్క అంతర్నిర్మిత /security-review, మరియు Cloudflare యొక్క కొత్త ఓపెన్-సోర్స్ సెక్యూరిటీ-ఆడిట్ స్కిల్. ఏ టూల్ ఏ బగ్ను పట్టుకుంది, Cloudflare స్కిల్ను రన్ చేయడానికి ఎంత ఖర్చయింది, AI ఎక్కువగా రాసే బగ్స్ను స్కానర్లు ఎందుకు మిస్ అవుతాయి, మరియు ఈ వారంలో మీరు సెటప్ చేసుకోగల మూడు ఆచరణాత్మక భద్రతా స్థాయిల వివరాలు ఇక్కడ ఉన్నాయి. సోషల్ మీడియా X: x.com లింక్డ్ఇన్: linkedin.com ఇన్స్టాగ్రామ్: instagram.com పని & సహకారాలు info@switchdimension.com వనరులు క్లౌడ్ఫ్లేర్ సెక్యూరిటీ-ఆడిట్ స్కిల్: cloudflare/security-audit-skill మీ స్వంత వల్నరబిలిటీ హార్నెస్ను రూపొందించుకోండి (క్లౌడ్ఫ్లేర్): blog.cloudflare.com క్లాడ్ కోడ్ సెక్యూరిటీ రివ్యూ: anthropics/claude-code-security-review గిట్లీక్స్: gitleaks/gitleaks ట్రివీ: aquasecurity/trivy లవబుల్ CVE-2025-48757 రైట్-అప్: mattpalmer.io Next.js CVE-2025-29927: api.osv.dev షానన్: KeygraphHQ/shannon ట్రైల్ ఆఫ్ బిట్స్ నైపుణ్యాలు: trailofbits/skills OWASP ZAP: zaproxy/zaproxy మొజిల్లా అబ్జర్వేటరీ: developer.mozilla.org అధ్యాయాలు 0:00 పరిచయం 0:43 AI-నిర్మిత యాప్లు ఎందుకు విభిన్నంగా విఫలమవుతాయి 1:38 లీక్కాస్ట్ను కలవండి: 6 ప్లాంటెడ్ బగ్స్ 2:33 రౌండ్ 1: ఉచిత స్కానర్లు 3:35 రౌండ్ 2: క్లాడ్ కోడ్ యొక్క అంతర్నిర్మిత సమీక్ష 4:30 రౌండ్ 3: క్లౌడ్ఫ్లేర్ యొక్క భద్రతా నైపుణ్యం 6:37 నియంత్రణ: ఒక సాధారణ ప్రాంప్ట్ 8:11 స్కోర్బోర్డ్ 8:58 ఆచరణాత్మక భద్రత యొక్క మూడు స్థాయిలు 10:48 ముగింపు #AISecurity #ClaudeCode #CursorAI #Cloudflare #NextJS #WebAppSecurity #VibeCoding #AppSec #AIDevelopment #AgentDevelopment #OWASP #CyberSecurity #Gitleaks [uk] Налаштуйте цю нову функцію безпеки, поки не стало надто пізно Прискорювач роботи з інженерами-агентами - switchdim.s.gy Я спеціально створив Next.js SaaS з 6 помилками безпеки: трьома, які повинні виявляти класичні сканери, і трьома, які насправді пишуть агенти кодування на основі штучного інтелекту, а потім провів проти нього три раунди інструментів: Gitleaks та Trivy, вбудований /security-review від Claude Code та новий навик Cloudflare з відкритим кодом для аудиту безпеки. Ось який інструмент виявив яку помилку, скільки коштувало запустити навик Cloudflare, чому сканери найчастіше пропускають помилки, які пише штучний інтелект, і три практичні рівні безпеки, які ви можете налаштувати цього тижня. СОЦІАЛЬНІ МЕРЕЖІ X: x.com LinkedIn: linkedin.com Instagram: instagram.com РОБОТА ТА СПІВПРАЦЯ info@switchdimension.com РЕСУРСИ Навички аудиту безпеки Cloudflare: cloudflare/security-audit-skill Створіть власний інструмент для виявлення вразливостей (Cloudflare): blog.cloudflare.com Огляд безпеки Claude Code: anthropics/claude-code-security-review Gitleaks: gitleaks/gitleaks Trivy: aquasecurity/trivy Чудовий опис CVE-2025-48757: mattpalmer.io Next.js CVE-2025-29927: api.osv.dev Шеннон: KeygraphHQ/shannon Навички Trail of Bits: trailofbits/skills OWASP ZAP: zaproxy/zaproxy Mozilla Observatory: developer.mozilla.org РОЗДІЛИ 0:00 Вступ 0:43 Чому програми, створені на основі штучного інтелекту, ламаються по-різному 1:38 Знайомство з Leakcast: 6 підмічених помилок 2:33 Раунд 1: Безкоштовні сканери 3:35 Раунд 2: Вбудовані функції Клода Кода Огляд 4:30 Раунд 3: Навички безпеки Cloudflare 6:37 Контроль: Одна проста підказка 8:11 Табло результатів 8:58 Три рівні прагматичної безпеки 10:48 Заключна частина #AISecurity #ClaudeCode #CursorAI #Cloudflare #NextJS #WebAppSecurity #VibeCoding #AppSec #AIDevelopment #AgentDevelopment #OWASP #CyberSecurity #Gitleaks