FAQ
Général
-
Qu’est-ce que Hacktron ?
Une entreprise de sécurité offensive native IA fondée par des chercheurs en sécurité. Red teste toute votre organisation, Whitebox réalise un pentest approfondi d’une application et Review vérifie chaque pull request.
-
En quoi Hacktron diffère-t-il d’un scanner ?
Les scanners signalent des motifs qui pourraient poser problème. Hacktron raisonne sur la façon dont un attaquant exploiterait votre code et ne signale que ce qu’il peut prouver exploitable.
-
Quelles vulnérabilités Hacktron a-t-il trouvées ?
Des exécutions de code à distance dans PHP, Node.js et Metabase Cloud, un accès aux dépôts internes d’OpenAI et un moyen de pousser du code dans le dépôt amont de Bash. Lire les recherches.
-
Quels langages Hacktron prend-il en charge ?
Tous les langages. Ceux ci-dessous bénéficient d’une analyse plus approfondie, propre au langage. Le vôtre n’y figure pas ? Réservez une démo et nous confirmerons la prise en charge.
- Python
- JavaScript
- TypeScript
- Go
- Java
- Ruby
- PHP
- Rust
- C
- C++
- C#
- Kotlin
- Swift
- Scala
- Elixir
- Solidity
Red
-
Que couvre le red teaming avec Hacktron ?
Toute la surface d’attaque de votre organisation, en continu. Hacktron tient à jour un modèle vivant de vos services externes, de votre authentification, de vos fournisseurs SaaS, de votre chaîne d’approvisionnement, de vos fonctionnalités et de vos composants, et teste les nouveaux actifs dès leur apparition.
-
En quoi est-ce différent d’un pentest ?
Un pentest teste un périmètre fixe une seule fois. Le red teaming tourne en permanence : les nouveaux actifs et les vulnérabilités nouvellement publiées sont testés dès leur apparition.
-
Les tests sont-ils sûrs ?
Oui. Les actions destructrices sont exclues, nos chercheurs supervisent les agents, et nous arrêtons et vous contactons si un test risque d’affecter la disponibilité.
-
Vérifiez-vous que les correctifs fonctionnent ?
Oui. Hacktron relance l’attaque pour confirmer que le chemin est fermé.
-
En quoi est-ce différent d’un bug bounty ?
Un bug bounty paie pour ce que les chercheurs externes signalent. Red prouve en continu des chemins d’attaque complets, avant qu’ils ne deviennent des incidents ou des primes.
Whitebox
-
Que comprend un pentest en boîte blanche ?
Un pentest d’une application à partir de son code source, avec des tests dynamiques en option. Des chercheurs valident chaque découverte, et vous recevez des rapports technique et de direction, des recommandations de correction, une lettre d’attestation et un retest gratuit.
-
Les rapports peuvent-ils servir pour SOC 2 ou ISO 27001 ?
Oui. Ils servent de preuve de pentest pour SOC 2, ISO 27001 et les revues de sécurité de vos clients.
Review
-
Comment Hacktron relit-il les pull requests ?
Il publie un contrôle de sécurité et commente les lignes concernées de chaque pull ou merge request. Commentez
@hacktron reviewpour le relancer, et triez les découvertes dans le fil.pkg/middleware/healthcheck.go
func isHealthCheckRequest(paths, userAgents map[string]struct{}, req *http.Request) bool {if _, ok := paths[req.URL.EscapedPath()]; ok {return true}if _, ok := userAgents[req.Header.Get("User-Agent")]; ok {return true}return false}hacktron-app Bot
High Authentication Bypass via Spoofable User-Agent Header in Health Check Middleware
The health check middleware in
oauth2-proxydetermines if a request should bypass authentication by checking if theUser-Agentheader matches a configured value (ping-user-agent). Since theUser-Agentheader is entirely controlled by the client, an attacker can spoof this header to match the configured value, thereby bypassing authentication for any arbitrary path. This allows unauthenticated access to the protected upstream service.Triage: Reply
!fp(false positive),!valid(confirmed), or!accepted_risk. Any other reply is saved as a triage note. -
Hacktron peut-il corriger le code pour moi ?
Seulement si vous le demandez. Hacktron écrit le correctif, lance vos tests et ouvre une pull request que votre équipe relit. Il ne fusionne jamais.
-
Quelles plateformes de gestion de code sont prises en charge ?
GitHub, y compris GitHub Enterprise Server, GitLab, Azure DevOps et Bitbucket.
-
Puis-je donner à Hacktron du contexte sur mon code ?
Oui. Ajoutez un fichier
.hacktron/rules.mdou importez des documents de contexte. Les retours de tri l’enrichissent aussi.
Intégrations
-
Avec quels outils Hacktron fonctionne-t-il ?
Slack pour les alertes, le tri et les questions dans le fil : interrogez-le sur un changement, vérifiez une CVE sur vos dépôts ou préparez un pentest en mentionnant @Hacktron AI. Jira et Linear pour les tickets.
-
Y a-t-il une API ?
Oui. Une API REST avec des clés par organisation, ainsi qu’un serveur MCP et un assistant Slack.
-
Puis-je exporter les découvertes ?
Oui. Téléchargez les rapports technique et de direction, ou exportez les découvertes en CSV, SARIF ou JSON.
Déploiement et accès
-
Puis-je exécuter Hacktron sur site ?
Oui. L’édition sur site fonctionne entièrement dans votre propre infrastructure, y compris dans des environnements isolés du réseau.
-
Comment Hacktron accède-t-il à mon code source ?
Les analyses cloud clonent votre dépôt dans un environnement isolé et stockent les découvertes, avec les extraits de code concernés, dans votre compte. L’édition sur site garde votre code dans votre environnement.
-
Mon code sert-il à entraîner des modèles d’IA ?
Non. Nos fournisseurs d’IA, OpenAI, Anthropic et Google, ne peuvent pas s’entraîner sur les données de Hacktron, et des accords de conservation zéro garantissent qu’ils ne les stockent pas.
-
Comment me connecter ?
Avec une adresse e-mail et un mot de passe, ou via l’authentification unique SAML. Les administrateurs peuvent imposer la MFA à toute l’organisation.
-
Hacktron est-il conforme SOC 2 ?
Oui. Hacktron dispose de rapports SOC 2 Type 1 et Type 2 d’Insight Assurance. Demandez l’accès dans le centre de confiance.
Tarifs
-
Y a-t-il un essai gratuit ?
Oui. Review propose un essai gratuit de 14 jours.
-
Comment Hacktron est-il facturé ?
Review par développeur et par mois, Whitebox par pentest selon la taille du code et Red par organisation. Voir les tarifs.
-
Hacktron est-il gratuit pour l’open source ?
Oui. Les dépôts publics éligibles bénéficient de Review gratuitement. Postulez sur la page open source.