FAQ
Allgemein
-
Was ist Hacktron?
Ein KI-natives Unternehmen für offensive Sicherheit, gegründet von Sicherheitsforschern. Red testet Ihre gesamte Organisation, Whitebox pentestet eine Anwendung in der Tiefe und Review prüft jeden Pull Request.
-
Was unterscheidet Hacktron von einem Scanner?
Scanner markieren Muster, die falsch sein könnten. Hacktron überlegt, wie ein Angreifer Ihren Code ausnutzen würde, und meldet nur, was nachweislich ausnutzbar ist.
-
Welche Schwachstellen hat Hacktron gefunden?
Remote Code Execution in PHP, Node.js und Metabase Cloud, einen Weg in die internen Repositorys von OpenAI und eine Möglichkeit, Code in das Upstream-Repository von Bash zu pushen. Zur Forschung.
-
Welche Sprachen unterstützt Hacktron?
Jede Sprache. Die folgenden erhalten eine tiefere, sprachspezifische Analyse. Ihre ist nicht dabei? Buchen Sie eine Demo, und wir bestätigen die Abdeckung.
- Python
- JavaScript
- TypeScript
- Go
- Java
- Ruby
- PHP
- Rust
- C
- C++
- C#
- Kotlin
- Swift
- Scala
- Elixir
- Solidity
Red
-
Was deckt Red Teaming mit Hacktron ab?
Die gesamte Angriffsfläche Ihrer Organisation, kontinuierlich. Hacktron führt ein lebendes Modell Ihrer externen Dienste, Ihrer Authentifizierung, SaaS-Anbieter, Lieferkette, Features und Komponenten und testet neue Assets, sobald sie auftauchen.
-
Was unterscheidet es von einem Pentest?
Ein Pentest prüft einen festen Umfang einmal. Red Teaming läuft ununterbrochen, sodass neue Assets und neu veröffentlichte Schwachstellen getestet werden, sobald sie auftauchen.
-
Sind die Tests sicher?
Ja. Destruktive Aktionen sind ausgeschlossen, unsere Forscher überwachen die Agenten, und wir halten an und kontaktieren Sie, wenn ein Test die Verfügbarkeit beeinträchtigen könnte.
-
Prüfen Sie, ob Fixes wirken?
Ja. Hacktron wiederholt den Angriff, um zu bestätigen, dass der Pfad geschlossen ist.
-
Was unterscheidet es von einem Bug-Bounty-Programm?
Ein Bug-Bounty-Programm zahlt für das, was externe Forscher melden. Red weist vollständige Angriffspfade kontinuierlich nach, bevor daraus Vorfälle oder Auszahlungen werden.
Whitebox
-
Was umfasst ein White-Box-Pentest?
Einen Pentest einer Anwendung anhand ihres Quellcodes, optional mit dynamischen Tests. Forscher bestätigen jeden Befund, und Sie erhalten technische und Management-Berichte, Behebungshinweise, ein Testat und einen kostenlosen Retest.
-
Eignen sich die Berichte für SOC 2 oder ISO 27001?
Ja. Sie dienen als Pentest-Nachweis für SOC 2, ISO 27001 und Sicherheitsprüfungen durch Kunden.
Review
-
Wie prüft Hacktron Pull Requests?
Es setzt einen Sicherheitscheck und kommentiert die betroffenen Zeilen jedes Pull oder Merge Requests. Kommentieren Sie
@hacktron review, um es erneut auszuführen, und triagieren Sie Befunde im Thread.pkg/middleware/healthcheck.go
func isHealthCheckRequest(paths, userAgents map[string]struct{}, req *http.Request) bool {if _, ok := paths[req.URL.EscapedPath()]; ok {return true}if _, ok := userAgents[req.Header.Get("User-Agent")]; ok {return true}return false}hacktron-app Bot
High Authentication Bypass via Spoofable User-Agent Header in Health Check Middleware
The health check middleware in
oauth2-proxydetermines if a request should bypass authentication by checking if theUser-Agentheader matches a configured value (ping-user-agent). Since theUser-Agentheader is entirely controlled by the client, an attacker can spoof this header to match the configured value, thereby bypassing authentication for any arbitrary path. This allows unauthenticated access to the protected upstream service.Triage: Reply
!fp(false positive),!valid(confirmed), or!accepted_risk. Any other reply is saved as a triage note. -
Kann Hacktron den Code für mich korrigieren?
Nur wenn Sie darum bitten. Hacktron schreibt den Fix, führt Ihre Tests aus und öffnet einen Pull Request, den Ihr Team prüft. Es merged nie selbst.
-
Welche Plattformen für Versionsverwaltung werden unterstützt?
GitHub, einschließlich GitHub Enterprise Server, GitLab, Azure DevOps und Bitbucket.
-
Kann ich Hacktron Kontext zu meiner Codebasis geben?
Ja. Fügen Sie eine Datei
.hacktron/rules.mdhinzu oder laden Sie Kontextdokumente hoch. Auch Triage-Feedback lernt es mit.
Integrationen
-
Mit welchen Tools arbeitet Hacktron zusammen?
Mit Slack für Benachrichtigungen, Triage und Fragen im Thread: Fragen Sie zu einer Änderung, prüfen Sie eine CVE gegen Ihre Repositorys oder richten Sie einen Pentest ein, indem Sie @Hacktron AI erwähnen. Mit Jira und Linear für Tickets.
-
Gibt es eine API?
Ja. Eine REST-API mit Schlüsseln pro Organisation, dazu ein MCP-Server und ein Slack-Assistent.
-
Kann ich Befunde exportieren?
Ja. Laden Sie Management- und technische Berichte herunter oder exportieren Sie Befunde als CSV, SARIF oder JSON.
Bereitstellung und Zugriff
-
Kann ich Hacktron on-premises betreiben?
Ja. Die On-Premises-Edition läuft vollständig in Ihrer eigenen Infrastruktur, auch in Air-Gapped-Umgebungen.
-
Wie greift Hacktron auf meinen Quellcode zu?
Cloud-Scans klonen Ihr Repository in eine isolierte Umgebung und speichern Befunde mit den relevanten Code-Ausschnitten in Ihrem Konto. Die On-Premises-Edition belässt Ihren Code in Ihrer Umgebung.
-
Wird mein Code zum Training von KI-Modellen verwendet?
Nein. Unsere KI-Anbieter OpenAI, Anthropic und Google dürfen nicht mit den Daten von Hacktron trainieren, und Vereinbarungen ohne Datenspeicherung bedeuten, dass sie sie nicht speichern.
-
Wie melde ich mich an?
Mit E-Mail und Passwort oder per SAML-Single-Sign-on. Admins können MFA für alle in der Organisation verlangen.
-
Ist Hacktron SOC-2-konform?
Ja. Hacktron hat SOC-2-Type-1- und Type-2-Berichte von Insight Assurance. Zugang im Trust Center anfragen.
Preise
-
Gibt es eine kostenlose Testphase?
Ja. Review lässt sich 14 Tage kostenlos testen.
-
Wie wird Hacktron abgerechnet?
Review pro Entwickler und Monat, Whitebox pro Pentest nach Größe des Codes und Red pro Organisation. Siehe Preise.
-
Ist Hacktron für Open Source kostenlos?
Ja. Qualifizierte öffentliche Repositorys erhalten Review kostenlos. Auf der Open-Source-Seite bewerben.