Этот квартал апрель-июнь я активно багхантила и вот что имею сказать по поводу повсеместного использования ИИшниц.
Дано:
* Ищу вечерами или в свободное время в качестве хобби не каждый день
* Не самая быстрая рука на диком западе - не иду сканировать новые приватки в первые минуты их появления
* Нет агентов в постоянном сканировании, но ими пользуюсь
* Все что можно найти с помощью ИИ - находят с помощью ИИ более быстрые. Тут я даже не пытаюсь соревноваться
* IDOR и простые BAC, которые могут найти агенты в режиме "вот тебе 2 аккаунта и ресурс найти все IDOR" находят ребята с 700 агентами, аналогично со всеми уязвимостями которые могут найти самостоятельно. У меня 0 принятых отчетов, которые нашла только ИИ - все дубликаты
* Из-за этого не надо оставлять простые баги с "потом когда-нибудь докручу"
* Все что требует специфики, взгляда исследователя, дополнительных действий или упорства - продолжает искаться и сдаваться. Посмотрим что будет через год
* Появились сервисы, которые прям видно что навабкодили, причем очень криво и возвращаются баги, которые я вообще давно нигде кроме CTF не видела
* Появились новые виды атак: открытие mcp для всего и переход на ИИ саппорта
* Почти перестала сдавать XSS, остальной клиент сайд, а так же получение персональных данных пользователя. Только если само находится или в любимых программах, где уже не могу придумать что еще поделать
* Сосредоточившись на векторах атаки инфраструктуры - получается удачнее чем фокус на атаках пользователя. Такие баги даже не занижают.
Итого:
* Сейчас самое простое время начать багхантить пока все компании не встроили еще ИИ себе в пайплайны
* Перебирать варианты то что мне было лень и я растягивала на почти месяц стало гораздо удобнее
* Чтобы кто не говорил, что читать ИИ иишные тексты отчетов тяжело - оформлять с 101 пунктом некоторых шаблонов "укажите время тестирования, свой аккаунт, компонент, страницу и где в js вы это нашли,