Otonom Ai Hacker Yaptık ‼ Deka Pentest V2.2 Güncellemesi

Deka V2 "Stage 5" Yayında: Gerçek Zamanlı Otonom 0-Day Üreten Yapay Zeka Motoru ✍🏻

Selamlar herkese,

Uzun süredir üzerinde çalıştığımız Deka Pentest v2 altyapısına sonunda "Stage 5" kod adlı Dinamik AI Zero-Day Üretim Motorunu (Weapon-Forge) tamamen otonom çalışacak şekilde entegre ettik. Sonuçlar beklediğimizden de korkutucu (ve heyecan verici) oldu.

Kısaca ne yaptığından bahsetmek istiyorum çünkü piyasadaki sözde "yapay zeka destekli" toollar gibi sadece bilinen payload'ların harflerini değiştirip WAF atlatmaya çalışmıyor. Olayı çok daha ileri taşıdık.

⚙ Stage 5 Nasıl Çalışıyor?
Normalde pentest araçları ellerindeki payload listesini bitirince pes eder. Bizim engine ise tam bu noktada devreye giriyor:

Canlı Profil Çıkarma: Engine, hedefin teknoloji stack'ini (örn: Node.js, spesifik bir Nginx versiyonu, Laravel vb.) anında analiz ediyor.

Weapon-Forge Devreye Giriyor: Bu altyapı profili doğrudan içerideki LLM Analyzer modülümüze gönderiliyor. Modül, özel promptuyla aitalimatıyla hedefe özel bir vektör üretiyor.

In-Memory Çalıştırma (İşte Bütün Olay Bu): Yapay zekanın anlık olarak yazdığı bu exploit kodu diske asla inmiyor. Motor bunu doğrudan RAM üzerinde (exec() ile) derleyip otonom şekilde hedefe ateşliyor.

GELİŞMELERDEN VE YAYINA ÇIKTIĞI ZAMAN HABER ALMAK İÇİN “ETİKET İSTİYORUM” YAZABİLİRSİNİZ.

Her zamanki gibi; %100 güvenlik bir illüzyondur.

DEKA PENTEST V2 GÜNCELLEMESİ İÇİN TIKLAYIN

Etiketler: @ETİ Yazılım;

DEKA PENTEST ÇOK ÇOK YAKINDA SİZLERLE! BEKLEME LİSTESİNE ALINMAK İÇİN WHATSAPPTAN İLETİŞİME GEÇEBİLİRSİNİZ!

https://github.com/shuvonsec/claude-bug-bounty
zaafiyet tespit etme konusunda bundan farkınız nedir hocam, benchmarklarınız mevcut mu?

beğendiğiniz için ilgilendiğinizi düşünüyorum: @AcimasizYorum;

1. Sistemin Çekirdek Yapısı ve Ölçeği

• Çekirdek Motor
  • Claude Bug Bounty: Claude Code CLI üzerine yazılmış promptlardan ibarettir. Tarama için dışarıdan standart araçlar (subfinder, nuclei, httpx) çalıştırır.
  • Deka V2 (Apocalypse): Kendi içinde sıfırdan yazılmış özel asenkron Python motoruna sahiptir (asyncio.Semaphore(250)). Dış bağımlılıklara bel bağlamaz.
• Saldırı Vektörleri ve Kapsam
  • Claude Bug Bounty: Statik 20 sınıf (IDOR, XSS vb.) taraması yapar. Claude'un sadece araç çıktılarını okuyup "burayı manuel test et" dediği teorik senaryolardan oluşur.
  • Deka V2 (Apocalypse): 100+ Apocalypse Modülü ve On Binlerce Vektör içerir. Omni-Detect Phase 7 ile Kubernetes SSRF'ten AWS IMDSv2 Bypass'a, GraphQL Batching'ten JWT Cracking'e kadar binlerce canlı, gerçek dünya exploit vektörü hedefe fırlatılır.
• Hız ve Concurrency
  • Claude Bug Bounty: Çok yavaştır. LLM'in token sınırları ve manuel komut bazlı sıralı ilerlemesi nedeniyle bir hedefin taranması saatler sürebilir.
  • Deka V2 (Apocalypse): Turbo Mode (250 Concurrency) sayesinde aynı anda 250 paralel thread açarak hedefe on binlerce payload'u saniyeler/dakikalar içinde atar.

2. Zafiyet Sömürme ve Yaklaşım Farkı

• Amacı (Rehber vs. Tetikçi)
  • Claude Bug Bounty: İnsan yönlendirmeli bir "Siber Güvenlik Asistanı"dır. Pasiftir. Rapor yazar ve durur.
  • Deka V2 (Apocalypse): İnsan müdahalesiz, "Otonom Tetikçi"dir. Hedefte açık bulursa sormaz; içeri girer, veritabanını dump etmeye (Exfiltration) veya Reverse Shell almaya çalışır.
• Javascript ve DOM Zafiyetleri
  • Claude Bug Bounty: Yalnızca statik dosya analizi ve prompt üzerinden DOM okuma yapar.
  • Deka V2 (Apocalypse): Arkada gizlice Headless Chromium (Playwright) tarayıcılar açar, XSS payload'larını gerçekten tarayıcıda render edip Javascript'i patlatır ve sonucu kesin kanıtla yakalar.

3. Yapay Zeka (AI) Kullanım Şekli (Sadece Raporlama vs. Stage 5 Otonomi)

• Claude Bug Bounty'de AI: Nuclei veya Httpx'in json/txt çıktılarını okur ve size Markdown formatında okunaklı bir rapor yazar. Görevi "çevirmenlik" ve "tavsiye vermektir".
• Deka V2'de AI - "Stage 5 Weapon-Forge": Deka V2 on binlerce dahili vektörü denedi ve hedefin savunmasına takıldı diyelim. O noktada Deka V2 pes etmez; hedef profili AI'a yollar ve "Bana Nginx ve Node.js için WAF'ı atlatacak, yepyeni (0-Day) bir Python exploit fonksiyonu yaz" der. Yazılan bu kodu RAM üzerinde (exec()) anlık olarak derler, hedefe fırlatır, shell alır ve raporlar. AI burada asistan değil, anlık siber silah (0-Day) üreten bir mühendistir.

4. İleri Düzey Yetenekler ve Kapsam

• Bulut (Cloud) ve Infra İstismarı:
  • Claude Bug Bounty: Yalnızca statik bulut konfigürasyonlarına bakar.
  • Deka V2 (Apocalypse): AWS IAM otomatik pwn, GCP Metadata Rebinding, BGP Route Leak Profiling, Docker/Kubelet Soket istismarı gibi işlemleri otonom test eder.
• Out-of-Band (OOB) ve Tünelleme:
  • Claude Bug Bounty: Sınırlıdır, dış araçlara güvenir.
  • Deka V2 (Apocalypse): Kendi Interactsh (OOB) dinleyicisini anında ayağa kaldırır, Blind SSRF ve Blind RCE payload'larının DNS/HTTP callback'lerini otomatik yakalar.
• Veri Sızdırma (Exfiltration):
  • Claude Bug Bounty: Bug bounty programları kuralları gereği tehlikeli operasyonlar engellenmiştir.
  • Deka V2 (Apocalypse): Açığı bulduğunda veritabanı dump simülasyonu başlatır ve OOB tüneli ile dışarı sızdırır.

Elinize sağlık nasıl kullanabileceğiz ?