精度胜于数量:BugBunny 的信号为何脱颖而出

学习如何将 Gemini CLI 用于漏洞赏金研究：批量分析抓包流量与源代码、挖掘潜在线索，并人工验证发现。

BugBunny 使用指南：为扫描指定已授权目标，若应用需要登录态则附上未经清洗的原始 HAR（保留 Cookie、鉴权头等），随后由代理自动完成侦察、验证与报告；与其反复追加指令，不如直接发起新一轮扫描。

BugBunny 推出按工作量计费的 PAYG 模式：每月 100 美元平台费加用量钱包（新账户赠 100 美元）；6 月 8958 次完成扫描中位成本 17.39 美元、均价 32.11 美元，余额不足时扫描安全暂停、充值后续跑。

Vincent Liu 专访 HackerOne CEO Mårten Mickos：谈公司快速成长、对透明度的坚持，以及将漏洞赏金推向更广泛人群、打破行业精英壁垒的主张。

XBOW 推出自主暴露管理（Autonomous Exposure Management）：以攻击者视角、无需源码与凭据，对企业整个外部应用资产并行发起测试，为每个发现附上可复现的利用证据。企业自有应用数量往往是渗透测试覆盖量的 3–10 倍，未被测试的应用并非低风险；AI 让软件产出与漏洞发现同时变便宜，证明可利用性成为把漏洞队列转化为处置决策的关键环节。

一位渗透测试员实测发现：Claude 会拒绝编写 LSASS 转储工具，而本地运行的 DeepSeek 及去审查版 Qwen 模型可轻松生成可用的 XOR 加密 minidumper，表明借助本地 AI 绕过 EDR 已相当容易。