mdpsec: Prompt & Workflow AI Bug Bounty Hunter

Peneliti sekuriti Marius du Preez ngebuka repo prompt dan alur kerja AI bug bounty hunter miliknya di GitHub secara gratis. Ini bukan bot instan sekali klik buat nge-hack, melainkan kerangka prompt buat diadaptasi ke LLM seperti DeepSeek atau Claude. DeepSeek jadi model rekomendasi utama karena jarang ngambek atau nolak (refusal) prompt riset keamanan. Lu bisa coba pelajari kodenya buat bangun agent pentest lu sendiri.

Mengenal Layanan & Gambaran Teknis

Kumpulan blueprint alur kerja (workflow) dan prompt siap pakai untuk memandu AI menganalisis celah keamanan perangkat lunak. Konsep ini bukan alat hack otomatis, melainkan asisten cerdas yang bantu bug hunter membaca alur logika aplikasi dan bikin laporan temuan.

Panduan Langkah Demi Langkah

1. Langkah 1: Buka github.com di browser dan cari repositori bug bounty milik profil mdpsec, atau cek link dari pengumuman resmi di x.com/mdp_sec.
2. Langkah 2: Siapkan API key dari model AI yang minim penolakan otomatis (DeepSeek sangat disarankan untuk riset sekuriti, atau gunakan Claude/Codex).
3. Langkah 3: Salin (clone) repositori prompt dan pelajari struktur prompt instruksi pengujian keamanan yang disediakan.
4. Langkah 4: Hubungkan prompt tersebut ke harness atau environment pengujian agen AI yang kamu pakai (misalnya OpenHands atau skrip otomasi lokal).
5. Langkah 5: Jalankan pengujian hanya pada target berizin (seperti program resmi di platform Bugcrowd/HackerOne atau lab CTF lokal) lalu verifikasi hasilnya secara manual.

Persyaratan & Kesiapan

• Akun GitHub untuk melihat repositori kode
• API Key model bahasa (LLM) seperti DeepSeek atau Claude
• Pemahaman dasar seputar alur kerja pengujian celah keamanan web (bug bounty)

Tips Optimalisasi

• Gunakan DeepSeek API kalau sering kena penolakan prompt (guardrail refusals) saat pakai model mainstream lain.
• Jangan percaya 100% analisa AI, selalu validasi celah secara manual sebelum bikin laporan bug bounty resmi.
• Baca riwayat tweet kreatornya di X untuk referensi tolok ukur (benchmarks) performa model terhadap lab sekuriti nyata.

Mitigasi Risiko & Keamanan

• Biaya tagihan API LLM bisa membengkak cepat jika agen otomasi dibiarkan looping tanpa batasan token.
• Potensi akun program bug bounty di-banned jika mengirim spam laporan palsu hasil halusinasi AI tanpa verifikasi.
• Risiko hukum pidana jika agen pengujian diarahkan ke target ilegal tanpa izin tertulis.

Kesimpulan & Catatan Penting

Repositori ini ngasih pondasi matang buat bikin agen AI khusus bug bounty tanpa perlu riset prompt dari nol. Tinggal pasang API model pilihan dan pelajari alurnya secara disiplin.