huntr
Protect AI, part of Palo Alto Networks · Détection d’IA
huntr est une plateforme de bug bounty IA où les chercheurs signalent des failles dans des bibliothèques ML open source et des formats de fichiers de modèles, et s'affrontent dans des défis chronométrés avec des primes en espèces.
À propos de huntr
About
Qu'est-ce que huntr
huntr est une plateforme de bug bounty consacrée uniquement à l'IA et au machine learning. Les cibles ne sont pas des sites ni des applications mobiles, mais les bibliothèques sur lesquelles tourne le code d'IA et les formats dans lesquels les modèles sont enregistrés. Un fichier de modèle piégé peut exécuter du code dès qu'on le charge, et la plateforme considère toute cette surface comme terrain de chasse.
Le socle, ce sont les primes par dépôt. Des projets comme PyTorch, Transformers, Keras, ONNX ou scikit-learn figurent au tableau avec un montant associé, et chaque signalement passe par un triage avant que le mainteneur publie un correctif. Ces correctifs deviennent des avis publics, et c'est là que la plupart des chercheurs se construisent une réputation.
La couche la plus récente, ce sont les défis. Il s'agit de compétitions limitées dans le temps face à un assistant ou un agent d'IA conçu pour l'occasion. Il peut falloir extraire un jeton secret d'un assistant d'assurance, ou amener trois agents à révéler les outils qu'ils doivent protéger. La dotation d'un seul défi atteint 15 000 dollars, et un classement départage ceux qui remplissent les objectifs avant la clôture.
Deux conséquences découlent de ce modèle. Les trouvailles sont évaluées, pas autopubliées: un rapport ne paie que lorsque quelqu'un confirme qu'il est réel. Et le travail est concurrentiel. Les défis populaires attirent du monde, et les doublons ne rapportent rien. Ceux qui lisent déjà du Python et comprennent l'injection de prompts en tirent bien plus.
Pour commencer
- Créez un compte sur huntr.com avec un e-mail ou GitHub, puis acceptez le code de conduite et les conditions de participation.
- Choisissez une cible. Le tableau des primes à la découverte de bugs liste les dépôts ouverts avec leur fourchette de récompense, et la section défis affiche les événements en cours avec règles et échéances.
- Reproduisez la faille sur la version exacte que vous signalez et gardez une preuve de concept minimale. Pour un bug de bibliothèque, notez la fonction touchée et le chemin du payload jusqu'à elle.
- Envoyez le rapport avec les étapes, les preuves et l'impact. Le triage valide, le mainteneur corrige, et l'avis public sort avec votre nom.
- Sur un défi, déposez la preuve de l'objectif avant la clôture, puis suivez le classement pour votre rang et le versement.
Informations sur le produit
Aperçu des tarifs, des plateformes compatibles et des performances de huntr.
Idéal pour
Les utilisateurs, tâches et cas d'usage où cet outil convient le mieux.
Utilisateurs
- Chercheurs en sécurité habitués au web ou à l'infrastructure
- Ingénieurs ML qui maintiennent des projets ouverts
- Étudiants qui se constituent un portfolio
Tâches
- Signaler une faille de désérialisation dans un chargeur de modèles
- Tester l'injection de prompts sur une application qui utilise un LLM
- Obtenir un CVE pour une bibliothèque ML ouverte
- Affûter sa pratique de red team IA avant un entretien
Cas d'usage
- Vous avez un week-end libre et voulez une cible cadrée
- Votre équipe livre une fonction basée sur un LLM et veut un regard extérieur
- Il vous faut une pièce de portfolio pour un poste en sécurité
Fonctionnalités clés
Tableau des primes open source
Le tableau affiche les dépôts avec la récompense déjà financée, ce qui donne la valeur d'un rapport valide avant même d'ouvrir l'éditeur. Les grands projets d'IA se situent dans des ordres de grandeur proches, plusieurs tournant autour de 1 500 dollars par rapport accepté. Les montants bougent, et la page du dépôt reste la seule référence.
Défis IA chronométrés
Les défis sont des concours, pas des chasses ouvertes. Chacun pose un objectif face à un assistant d'IA réel, fixe une date de clôture et classe tous ceux qui le remplissent. La dotation est fixe et publiée avant le départ, puis partagée entre les premiers rangs.
Triage et divulgation
Chaque envoi passe par une équipe sécurité avant d'atteindre le mainteneur, ce qui filtre le bruit et les doublons. Les cas acceptés suivent une divulgation de vulnérabilités coordonnée, avec le correctif en ligne avant les détails. Cet ordre protège les utilisateurs et laisse au chercheur un avis citable.
Versements et récompenses
Les primes à la découverte de bugs se versent par rapport accepté, les dotations de défi par événement. L'inscription est gratuite et il n'existe pas d'abonnement. Le paiement dépend de l'acceptation, donc un rapport refusé ne laisse que l'expérience acquise.
Couverture des formats de fichiers de modèles
Presque tous les programmes s'arrêtent au code applicatif. huntr descend d'un niveau, jusqu'aux formats de fichiers de modèles, où charger un modèle téléchargé peut exécuter du code sur la machine. Ce périmètre est rare, et c'est la première raison pour laquelle les équipes sécurité orientent vers la plateforme.
Analyses publiées et communauté
Le blog publie des décortiquages d'exploits, dont des travaux sur la désérialisation de modèles Keras et sur des bugs de manipulation d'archives qui mènent à des trouvailles mieux payées. Un serveur Discord et une FAQ complètent l'ensemble. Lire ces analyses reste le moyen le plus rapide d'apprendre les schémas que les défis récompensent.
Avantages et inconvénients
Avantages
- Périmètre étroit et clair: bibliothèques d'IA et de ML plus formats de modèles, au lieu du web entier.
- Les avis publiés apportent une reconnaissance publique et un historique de CVE citable.
- Les dotations des défis sont connues avant l'épreuve, donc le gain maximal est chiffré d'avance.
- L'accès est gratuit pour les chercheurs, et les projets financent leurs propres primes.
- La couverture des formats de modèles est rare sur les plateformes généralistes.
Inconvénients
- La concurrence se concentre sur les défis populaires et les doublons ne paient rien, donc une épreuve très suivie peut coûter un week-end.
- Le versement dépend du triage, et un refus après plusieurs jours de travail arrive souvent.
- Entre deux défis, le tableau n'est presque que du code de bibliothèque, ce qui récompense la lecture de sources plus que le test rapide.
- Aucune API publique n'est documentée, donc une équipe ne peut pas rapatrier son historique de rapports dans son propre tableau de bord.
Questions fréquentes
À signaler des failles de sécurité dans des logiciels d'IA et de machine learning, et à concourir dans des compétitions de sécurité de l'IA. Les deux moitiés partagent une file d'attente et un système de réputation, donc un bon rapport de bibliothèque et une bonne performance en défi comptent pareil.
Contenus associés
Découvrez des outils, des compétences et des articles liés à huntr.
Alternatives à huntr
Isgen AI
Isgen · Détection d’IAIsgen AI est un détecteur d'IA basé sur le web qui note un texte selon la probabilité qu'une machine l'ait écrit et vous montre quelles propositions et quelles phrases font grimper ce chiffre. Il est conçu pour les enseignants, les éditeurs, les étudiants et les rédacteurs. La question est simple : ce brouillon vient-il de ChatGPT, de GPT-5, de Claude, de Gemini, de DeepSeek ou d'un autre modèle ? Vous collez ou importez le contenu, lancez une analyse et obtenez une répartition entre Humain, IA et Mixte en quelques secondes. Un éditeur complémentaire note aussi le texte pendant que vous l'écrivez.
Humanizeai Tools
Humanizeai Tools · Rédaction · Détection d’IAHumanizeai Tools est un humaniseur d'IA basé sur le web qui réécrit un texte produit par une machine pour qu'il sonne comme écrit par une personne, ce qui est tout l'objet de la catégorie à laquelle il appartient. Vous collez un brouillon de ChatGPT, de Claude ou de Gemini, vous le passez dans l'outil et il remplace les tournures et les structures de phrase que les détecteurs d'IA repèrent. Si votre but est de rendre un texte d'IA humain avant de le publier, c'est exactement le genre d'outil conçu pour cela. Il convient aux étudiants, aux blogueurs et aux marketeurs qui ont besoin de textes qui se lisent naturellement et passent des outils comme GPTZero, Copyleaks et Winston AI en une seule passe.
Hidemyai
Hidemyai · Rédaction · Détection d’IAHidemyai est un humaniseur de contenu IA. Il réécrit le texte de ChatGPT, de Jasper et d'outils similaires pour que le résultat semble écrit par une personne. Vous collez votre brouillon, choisissez un type de document et un ton, et le service renvoie une version destinée à contourner les détecteurs comme Originality.ai, Turnitin et ZeroGPT. Il vise les rédacteurs, les spécialistes du marketing et les étudiants qui s'appuient sur des brouillons d'IA sans pouvoir publier un texte qui sonne robotique. La promesse est simple : rendre le contenu IA indétectable.