AI được dùng như trợ lý, nhưng researcher vẫn phải : tự xác minh , bằng chứng, khả năng tái hiện và impact trước khi gửi report. Workspace này không quét Internet, không né WAF và không gửi dữ liệu ra ngoài.
Từng track bắt người học đi từ policy → model → evidence → report. Không track nào cho phép lấy output AI làm finding.
Rate limit và dùng để giảm tác động, tuân policy và giữ phép thử có kiểm soát; không dùng để ngụy trang traffic hay né cơ chế phòng thủ.
Planner chỉ giúp so kế hoạch với giới hạn ông nhập từ policy. Nó không quyết định scope và không phải công cụ né detection.
Mỗi lab bắt đầu bằng invariant và state. Tự ghi hypothesis trước khi mở phần review.
Shop synthetic có coupon WELCOME10. UI ẩn coupon sau khi dùng nhưng backend giữ order draft và payment state riêng.
Vẽ state machine, xác định nơi backend phải đánh dấu redemption và thiết kế positive/negative test chỉ trên lab.
Tập trung server-side redemption state và idempotency; UI ẩn nút không phải control đủ mạnh.
Hai tài khoản test A/B thuộc hai organization synthetic khác nhau. Mỗi invoice có owner, org và invoice id.
Tạo subject × action × object matrix, giữ request baseline của A rồi tạo negative case của B trong lab.
Authorization phải enforce theo owner/org phía server cho từng action; identifier khó đoán không thay authorization.
Workspace synthetic có owner, admin và member; invitation token có role mong muốn và trạng thái pending/accepted/revoked.
Liệt kê action tạo invite, đổi role, revoke, accept; xác định check nào phải chạy lại lúc accept.
Đừng chỉ validate lúc tạo token; state/role có thể thay đổi trước lúc token được dùng.
SaaS lab tách billing status khỏi entitlement cache. Trial, premium và downgraded là ba state độc lập theo thời gian.
Lập timeline trước/sau downgrade và xác định nguồn sự thật nào quyết định entitlement.
Business logic bug thường nằm ở desync giữa billing source-of-truth và cache/feature flag.
Marketplace lab cho phép mua gift, chuyển cho account khác rồi yêu cầu refund trong cửa sổ giả lập.
Liệt kê transition nào phải atomic hoặc được bù trừ; thiết kế test dùng dữ liệu synthetic có giá trị 0.
Kiểm tra invariant xuyên nhiều service/state, nhưng không cần thực hiện giao dịch tiền thật để chứng minh logic.
Account lab có email cũ/mới, reset session và security event. Token synthetic chỉ tồn tại trong simulator.
Vẽ artifact lifecycle và xác định sự kiện nào phải invalidate reset/session cũ; không dùng token thật.
Tập trung lifecycle và invalidation thay vì “đoán token”; token strength không sửa state transition sai.
Shop lab có 1 item synthetic, reserve timeout và checkout. Hai account test có thể reserve gần nhau trong simulator.
Xác định critical state transition và evidence cần có để phân biệt race symptom với double-commit thật.
Response nhanh/chậm chưa đủ; phải kiểm tra committed state cuối và transaction/idempotency control.
Wallet synthetic có earn, redeem, reverse và transfer trên ledger giả lập; không chứa tiền thật.
Viết invariant về conservation/idempotency và lập bảng event ID, balance before/after trong lab.
Đừng chỉ nhìn balance UI; ledger event và idempotency key mới giúp chứng minh duplicate application.
So baseline và variant theo dòng. Khác biệt là signal để điều tra, chưa tự động là vulnerability.
HTTP/1.1 403 ForbiddenHTTP/1.1 200 OKcontent-type: application/jsoncontent-type: application/json∅∅{"error":"forbidden"}{"invoice":"synthetic-001"}Dùng trước khi đưa notes vào report hoặc AI bên ngoài. Vẫn phải review thủ công vì regex không hiểu mọi format secret.
Heuristic local chỉ đánh dấu chỗ đáng review; nó cố ý không nói “đã có lỗ hổng”.
const invoiceId = req.params.id;Input source: review trust boundary và kiểm tra validation/context trước khi kết luận.
const user = req.user;Authorization signal: kiểm tra decision có ràng buộc đúng subject, action và object không.
const invoice = await db.query(invoiceId);Sensitive sink: review data flow và xác minh control theo context; đây chưa phải bằng chứng vulnerability.
res.send(invoice);Sensitive sink: review data flow và xác minh control theo context; đây chưa phải bằng chứng vulnerability.
Report tốt ngắn gọn nhưng đủ tái hiện: title cụ thể, steps, , impact có quan sát, giới hạn/assumption và / khi phù hợp.
Khi dùng: Sau khi đã tự xác minh finding bằng request/response hoặc state evidence trong lab/scope.
Guardrail: Không cho AI thêm endpoint, impact, severity hoặc bước tái hiện chưa có trong notes.
Từ ghi chú dưới đây, chỉ sắp xếp FACT đã có thành Title, Summary, Steps, Evidence, Impact, Limits. Không suy đoán. Mọi chỗ thiếu hãy ghi [CẦN XÁC MINH]. Văn phong ngắn gọn. GUARDRAIL: Không cho AI thêm endpoint, impact, severity hoặc bước tái hiện chưa có trong notes. RAW NOTES (hãy tự redact secret trước khi đưa vào dịch vụ AI bên ngoài): [DÁN GHI CHÚ ĐÃ LÀM SẠCH Ở ĐÂY]
Prompt được tạo local. Trang này không gọi API AI và không upload notes.
V9 cố ý không có scanner, stealth/WAF-bypass hay autonomous attack. Mọi lab ở trang này là synthetic/local; với chương trình thật phải đọc policy cụ thể và giữ human-in-the-loop.