Preguntas frecuentes
General
-
¿Qué es Hacktron?
Una empresa de seguridad ofensiva nativa de IA creada por investigadores de seguridad. Red pone a prueba toda tu organización, Whitebox hace un pentest a fondo de una aplicación y Review revisa cada pull request.
-
¿En qué se diferencia Hacktron de un escáner?
Los escáneres señalan patrones que podrían estar mal. Hacktron razona cómo explotaría un atacante tu código y solo informa de lo que puede demostrar que es explotable.
-
¿Qué vulnerabilidades ha encontrado Hacktron?
Ejecución remota de código en PHP, Node.js y Metabase Cloud, un camino hacia los repositorios internos de OpenAI y una forma de hacer push al repositorio upstream de Bash. Lee la investigación.
-
¿Qué lenguajes admite Hacktron?
Cualquier lenguaje. Los siguientes reciben un análisis más profundo y específico. ¿El tuyo no aparece? Reserva una demo y te confirmaremos la cobertura.
- Python
- JavaScript
- TypeScript
- Go
- Java
- Ruby
- PHP
- Rust
- C
- C++
- C#
- Kotlin
- Swift
- Scala
- Elixir
- Solidity
Red
-
¿Qué cubre el red teaming con Hacktron?
Toda la superficie de ataque de tu organización, de forma continua. Hacktron mantiene un modelo vivo de tus servicios externos, autenticación, proveedores SaaS, cadena de suministro, funciones y componentes, y prueba los activos nuevos en cuanto aparecen.
-
¿En qué se diferencia de un pentest?
Un pentest prueba un alcance fijo una sola vez. El red teaming funciona sin parar, así que los activos nuevos y las vulnerabilidades recién publicadas se prueban en cuanto aparecen.
-
¿Son seguras las pruebas?
Sí. Las acciones destructivas están prohibidas, nuestros investigadores supervisan a los agentes y paramos y te contactamos si una prueba pudiera afectar a la disponibilidad.
-
¿Comprobáis que las correcciones funcionan?
Sí. Hacktron repite el ataque para confirmar que la ruta está cerrada.
-
¿En qué se diferencia de un bug bounty?
Un bug bounty paga por lo que reportan investigadores externos. Red demuestra rutas de ataque completas de forma continua, antes de que se conviertan en incidentes o pagos.
Whitebox
-
¿Qué incluye un pentest de caja blanca?
Un pentest de una aplicación a partir de su código fuente, con pruebas dinámicas opcionales. Los investigadores validan cada hallazgo y recibes informes técnicos y ejecutivos, guía de corrección, una carta de certificación y un retest gratuito.
-
¿Sirven los informes para SOC 2 o ISO 27001?
Sí. Sirven como evidencia de pentest para SOC 2, ISO 27001 y revisiones de seguridad de clientes.
Review
-
¿Cómo revisa Hacktron los pull requests?
Publica un check de seguridad y comenta las líneas afectadas de cada pull o merge request. Comenta
@hacktron reviewpara volver a ejecutarlo y haz el triaje de los hallazgos en el hilo.pkg/middleware/healthcheck.go
func isHealthCheckRequest(paths, userAgents map[string]struct{}, req *http.Request) bool {if _, ok := paths[req.URL.EscapedPath()]; ok {return true}if _, ok := userAgents[req.Header.Get("User-Agent")]; ok {return true}return false}hacktron-app Bot
High Authentication Bypass via Spoofable User-Agent Header in Health Check Middleware
The health check middleware in
oauth2-proxydetermines if a request should bypass authentication by checking if theUser-Agentheader matches a configured value (ping-user-agent). Since theUser-Agentheader is entirely controlled by the client, an attacker can spoof this header to match the configured value, thereby bypassing authentication for any arbitrary path. This allows unauthenticated access to the protected upstream service.Triage: Reply
!fp(false positive),!valid(confirmed), or!accepted_risk. Any other reply is saved as a triage note. -
¿Puede Hacktron corregir el código por mí?
Solo si se lo pides. Hacktron escribe la corrección, ejecuta tus tests y abre un pull request para que tu equipo lo revise. Nunca hace merge.
-
¿Qué plataformas de control de código se admiten?
GitHub, incluido GitHub Enterprise Server, GitLab, Azure DevOps y Bitbucket.
-
¿Puedo darle a Hacktron contexto sobre mi código?
Sí. Añade un archivo
.hacktron/rules.mdo sube documentos de contexto. El feedback del triaje también le enseña.
Integraciones
-
¿Con qué herramientas funciona Hacktron?
Con Slack para alertas, triaje y preguntas en el hilo: pregunta por un cambio, comprueba una CVE contra tus repositorios o prepara un pentest mencionando a @Hacktron AI. Con Jira y Linear para los tickets.
-
¿Hay una API?
Sí. Una API REST con claves por organización, además de un servidor MCP y un asistente de Slack.
-
¿Puedo exportar los hallazgos?
Sí. Descarga informes ejecutivos y técnicos, o exporta los hallazgos en CSV, SARIF o JSON.
Despliegue y acceso
-
¿Puedo ejecutar Hacktron on-premises?
Sí. La edición on-premises se ejecuta por completo en tu propia infraestructura, incluidos entornos aislados de la red.
-
¿Cómo accede Hacktron a mi código fuente?
Los análisis en la nube clonan tu repositorio en un entorno aislado y guardan los hallazgos, con los fragmentos de código relevantes, en tu cuenta. La edición on-premises mantiene tu código en tu entorno.
-
¿Se usa mi código para entrenar modelos de IA?
No. Nuestros proveedores de IA, OpenAI, Anthropic y Google, no pueden entrenar con los datos de Hacktron, y los acuerdos de retención cero hacen que no los guarden.
-
¿Cómo inicio sesión?
Con correo y contraseña, o con inicio de sesión único SAML. Los administradores pueden exigir MFA a toda la organización.
-
¿Cumple Hacktron con SOC 2?
Sí. Hacktron tiene informes SOC 2 Type 1 y Type 2 de Insight Assurance. Solicita acceso en el centro de confianza.
Precios
-
¿Hay una prueba gratuita?
Sí. Review tiene una prueba gratuita de 14 días.
-
¿Cómo se cobra Hacktron?
Review por desarrollador al mes, Whitebox por pentest según el tamaño del código y Red por organización. Consulta los precios.
-
¿Es Hacktron gratis para código abierto?
Sí. Los repositorios públicos que cumplen los requisitos reciben Review gratis. Solicítalo en la página de código abierto.