Skonfiguruj VDP z agentem AI

Konfiguracja z pomocą agenta

Uruchomienie programu ujawniania podatności (VDP) oznacza przejście przez siedem sekcji konfiguracji, wygenerowanie pliku security.txt i opublikowanie publicznego portalu zgłoszeń. Agent AI może skonfigurować i opublikować istniejącą wersję roboczą przez narzędzia MCP w Kit. Opisz oczekiwany zakres i zasady programu. Przed publikacją przejrzyj przygotowaną konfigurację i podgląd portalu.

Ta strona opisuje narzędzia CSIRT służące do konfiguracji programu. Strona Integracja z AI opisuje codzienne narzędzia triażu (ważność, duplikaty, odpowiedzi badaczom). Poniżej znajdziesz narzędzia do konfiguracji i publikacji wersji roboczej.

Agent może odczytać stan programu, przygotować konfigurację i ją zapisać. Instrukcje narzędzi nakazują mu uzyskać zgodę na publikację, kwoty nagród i zmiany tekstów prawnych. Sposób potwierdzania wywołań zależy od klienta AI. Narzędzia konfiguracyjne nie przyjmują danych karty płatniczej.

Aby użyć zewnętrznego klienta MCP, najpierw utwórz wersję roboczą w Kit z aktywną subskrypcją Kit i dostępem administratora CSiRT. Następnie połącz klienta po raz pierwszy lub ponownie i przyznaj mu dostęp do odczytu i zapisu w module CSiRT. Narzędzia CSiRT pojawią się dopiero, gdy program będzie istnieć.

Kolejność konfiguracji

Zacznij od csirt_get_setup_guide i wywołaj narzędzie wskazane w next_tool. csirt_create_program może też zwrócić istniejącą wersję roboczą; to wywołanie jest opcjonalne.

Krok	Narzędzie	Co się dzieje
1. Sprawdzenie stanu	csirt_get_setup_guide	Raportuje bieżący stan, schemat konfiguracji, zalecane wartości domyślne i dokładne next_tool do wywołania.
2. Sprawdzenie wersji roboczej (opcjonalne)	csirt_create_program	Bez parametrów zwraca istniejący program bez tworzenia duplikatu. Wymaga dostępu administratora CSiRT i aktywnej subskrypcji Kit.
3. Konfiguracja	csirt_configure_program	Ustawia dowolny podzbiór siedmiu sekcji konfiguracji w jednym wywołaniu. Powtarzaj wedle potrzeby.
4. Aktywacja	csirt_activate_program	Publikuje publiczny portal i zaczyna przyjmować prawdziwe zgłoszenia. Instrukcja narzędzia wymaga zgody użytkownika. Narzędzie sprawdza też, czy ustawiono zakres i kontakt security.txt.

Typowa rozmowa:

"Skonfiguruj dla nas program ujawniania podatności. Zakres to app.acme.com
 i api.acme.com, e-mail przyjmujący zgłoszenia [email protected]. Na razie bez nagród."

Agent wywołuje csirt_get_setup_guide, odczytuje istniejącą wersję roboczą, konfiguruje zakres i kontakt security.txt, po czym zatrzymuje się i prosi o potwierdzenie przed opublikowaniem programu.

Krok 1: Sprawdzenie stanu i schematu

csirt_get_setup_guide to punkt wejścia i narzędzie, do którego agent wraca między krokami. Zwraca status, liczbę zgłoszeń, zgodność z SLA, config_checklist (każdy element wskazuje właściwe narzędzie) i następne narzędzie do wywołania.

Ponieważ schemat i wartości domyślne są zwracane razem z odpowiedzią, agent może zbudować pełną, poprawną konfigurację bez zgadywania nazw pól. Klucze dokładnie odpowiadają csirt_get_program, więc te same struktury działają przy odczycie, edycji i zapisie z powrotem.

Krok 2: Sprawdzenie wersji roboczej (opcjonalne)

Wywołane bez parametrów przez zewnętrznego klienta MCP, csirt_create_program zwraca istniejący program. Podanie name lub disclosure_policy aktualizuje te pola. Wymaga uprawnienia csirt_write, dostępu administratora CSiRT i aktywnej subskrypcji Kit.

Parametr	Wymagany	Opis
name	Nie	Aktualizuje nazwę istniejącego programu, jeśli podano.
disclosure_policy	Nie	Aktualizuje istniejący tekst polityki skoordynowanego ujawniania (markdown), jeśli podano.

Narzędzie jest idempotentne: jeśli program już istnieje, narzędzie zwraca ten istniejący zamiast tworzyć duplikat. Odpowiedź zawiera config_checklist oraz next_tool: "csirt_configure_program".

Krok 3: Konfiguracja programu

csirt_configure_program ustawia dowolny podzbiór siedmiu sekcji konfiguracji w jednym wywołaniu. Klucze i struktury pól odpowiadają csirt_get_program i csirt_get_setup_guide, więc te same struktury danych służą do odczytu i zapisu.

Sekcja	Klucz	Co ustawia
Zakres	scope_config	in_scope_targets[], out_of_scope_categories[], excluded_vuln_types[]. Wymagane przed aktywacją.
Macierz nagród	bounty_matrix_config	tiers: [{severity, min_cents, max_cents}] dla informational/low/medium/high/critical/super_critical.
SLA	sla_config	acknowledgment_hours, resolution_targets {severity => hours}, breach_alert_repeats (0–20, domyślnie 3), breach_alert_interval_hours (6–720, domyślnie 6).
Triaż	triage_config	default_assignee_id, escalation_severities[], dedup_enabled, require_retest, max_appeals, auto_assign_on_call.
Wypłaty	disbursement_config	supported_payment_methods[], require_tax_docs, require_agreement, min_payout_cents, currency.
Spam	spam_config	max_reports_per_window, window_seconds, block_duration_seconds.
security.txt	security_txt_config	contact_email (publiczny adres przyjmujący zgłoszenia, wymagany przed aktywacją), expires_days, policy_url, acknowledgments_url, hiring_url, encryption_url.

To narzędzie możesz wywoływać dowolną liczbę razy, gdy program ma status Draft. Odpowiedź raportuje, które sekcje się zmieniły, czy program jest już activatable, jakie pozostały activation_blockers oraz kolejne narzędzie.

Pełne znaczenie każdego pola znajdziesz w poradniku Konfiguracja programu, gdzie te same siedem sekcji opisano w interfejsie webowym.

Podgląd portalu w wersji roboczej

Nie musisz aktywować programu, aby zobaczyć portal. Każde narzędzie konfiguracyjne zwraca portal_preview_url, czyli podgląd portalu z dodatkowym banerem. Poza banerem wygląda tak, jak zobaczą go badacze. Działa, gdy program jest jeszcze w wersji roboczej:

• Tylko członkowie konta. Otwórz link, będąc zalogowanym w Kit. Jeśli jesteś wylogowany, link przekieruje cię na stronę logowania i z powrotem; odwiedzający, którzy nie są członkami twojego konta, otrzymają 404, więc wersja robocza pozostaje niewidoczna dla publiczności.
• Zawsze na domenie Kit. Własna domena bezpieczeństwa (na przykład vdp.yourcompany.com) zaczyna udostępniać portal dopiero po aktywacji. Sesja logowania w Kit nie działa na twojej własnej domenie, więc link podglądu zawsze używa adresu URL kit.

Poproś agenta „pokaż mi podgląd mojej strony VDP”, a poda ci ten link.

Krok 4: Aktywacja (uruchomienie)

csirt_activate_program uruchamia VDP: publikuje publiczny portal zgłoszeń i zaczyna przyjmować prawdziwe zgłoszenia badaczy oraz uruchamia liczniki SLA.

Instrukcja narzędzia nakazuje agentowi wyjaśnić skutki publikacji i uzyskać twoje potwierdzenie przed wywołaniem. Jest to instrukcja dla agenta, a nie osobny formularz zatwierdzenia w Kit.

Narzędzie odmawia aktywacji, dopóki nie ustawiono dwóch rzeczy:

• Zakres: co najmniej jeden cel w zakresie (scope_config.in_scope_targets).
• Kontakt security.txt: e-mail przyjmujący zgłoszenia (security_txt_config.contact_email).

Jeśli któregoś brakuje, narzędzie zwraca konkretne braki (wraz z preview_url wersji roboczej) i odsyła agenta z powrotem do csirt_configure_program z sekcją do poprawy. Po uruchomieniu odpowiedź zawiera publiczny portal_url z twoją własną domeną bezpieczeństwa, jeśli jest skonfigurowana, albo z adresem Kit. Program możesz później wstrzymać.

Co sprawdzić przed zatwierdzeniem

Agent przygotowuje	Sprawdź i zatwierdź	Niedostępne w tych narzędziach
Odczyt stanu programu i schematu konfiguracji	Aktywacja (uruchomienie / publikacja portalu)	Zapisanie danych karty płatniczej
Przygotowanie pełnej konfiguracji na podstawie twoich instrukcji	Aktywacja	Zakup subskrypcji
Zapis sekcji konfiguracji (zakres, SLA, triaż, spam, security.txt)	Ustawienie kwot nagród	Brak
Odczyt listy konfiguracji wersji roboczej	Edycja tekstów prawnych safe harbor / ujawniania	Brak

Przed wyrażeniem zgody przejrzyj podgląd portalu, kwoty nagród i tekst zasad. W zewnętrznym kliencie MCP sprawdź też ustawienia zatwierdzania wywołań.

Lista kontrolna

• Utwórz pierwszą wersję roboczą w Kit z aktywną subskrypcją Kit i dostępem administratora CSiRT
• Jeśli korzystasz z zewnętrznego klienta MCP, upewnij się, że połączeniu nadano uprawnienia odczytu i zapisu w module CSIRT na ekranie zgody. Narzędzia konfiguracyjne to narzędzia zapisu
• Poproś agenta, żeby „skonfigurował VDP”. Zacznie od csirt_get_setup_guide
• Potwierdź, że przed publikacją program nadal ma status Draft
• Podaj zakres (cele w zakresie) i e-mail przyjmujący zgłoszenia dla security.txt
• Sprawdź kwoty w macierzy nagród przed zatwierdzeniem (kwoty są w centach)
• Daj wyraźne „tak”, zanim agent wywoła csirt_activate_program
• Zweryfikuj publiczny portal_url zwrócony po aktywacji

Co dalej

• Konfiguracja programu: opis pól w siedmiu sekcjach konfiguracji
• Integracja z AI: narzędzia AI po stronie triażu (ważność, duplikaty, odpowiedzi badaczom)
• Konfiguracja security.txt: zgodność z RFC 9116 i weryfikacja
• Łączenie asystentów AI: podłączenie zewnętrznego klienta MCP i zarządzanie zakresami