h1-brain MCP
MCP-сервер собирает вашу историю HackerOne и 3600 раскрытых отчетов в базу, по которой агент планирует работу над программой
- 356 ★ репозитория
- Последний коммит
Широкий доступ
Почему такой уровень
- API-токен HackerOne открывает ваши отчеты, области действия программ и переписку с командами безопасности
- Сводка из hack переводит агента в наступательный режим, а проверять цели можно только в рамках разрешенной программы
- Личная база h1_data.db хранит подробности ваших найденных уязвимостей, в том числе еще не закрытых
Установка
- Работает в
Ручная установка
claude mcp add h1-brain -e H1_USERNAME=your_hackerone_username -e H1_API_TOKEN=your_api_token -- /path/to/h1-brain/venv/bin/python /path/to/h1-brain/server.pyСначала клонируйте репозиторий и поставьте зависимости: git clone, python -m venv venv, pip install -r requirements.txt.
Доступ и проверки
Как мы проверяемШирокий доступИнструмент может менять данные, выполнять команды или работать с секретами.
- API-токен HackerOne открывает ваши отчеты, области действия программ и переписку с командами безопасности
- Сводка из hack переводит агента в наступательный режим, а проверять цели можно только в рамках разрешенной программы
- Личная база h1_data.db хранит подробности ваших найденных уязвимостей, в том числе еще не закрытых
Это чужой код. Посмотрите файлы в репозитории перед установкой.
Что делает
h1-brain — MCP-сервер для охотников за багами на HackerOne. Он подтягивает через API ваши отчеты с вознаграждением, программы и их области действия в локальную базу SQLite. Агент ищет по ней и разбирает прошлые находки: по названию, программе, типу слабости или серьезности. В репозитории лежит готовая база disclosed_reports.db, куда собраны более 3600 публично раскрытых отчетов с выплатой, с описанием уязвимости, сроками и суммой. Главный инструмент hack(handle) за один вызов собирает сводку по программе. Он берет свежую область действия из API, ваши прошлые отчеты по ней и типы слабостей, за которые платили. Затем находит ресурсы с вознаграждением, где у вас еще нет находок, смотрит публичные раскрытия по этой программе и предлагает направления проверки, которые приносили выплаты в других программах. Сводка заканчивается инструкциями для агента из файла hack_instructions.md. Остальные инструменты делятся на группы. Для вашей базы есть search_reports, get_report, get_report_thread и search_scopes, для публичной базы search_disclosed_reports и get_disclosed_report. Синхронизацию делают fetch_rewarded_reports, fetch_programs и fetch_program_reports, последний тянет все ваши отчеты по программе вместе с перепиской.
Для кого. Для исследователей безопасности, которые участвуют в программах HackerOne и хотят, чтобы агент знал их прошлые находки и публичные разборы.
Подходит, если
- Вы начинаете работу над программой и хотите получить сводку: область действия, ваши прошлые находки и неохваченные ресурсы
- Нужно найти, какие типы слабостей платили на конкретной программе, и сравнить с вашими отчетами
- Нужно искать по подробным описаниям публичных отчетов с выплатой, например по типу слабости или названию программы
- Вы хотите выгрузить всю историю по программе вместе с перепиской и статусами в markdown-файлы
- Перед написанием нового отчета нужны примеры похожих раскрытых отчетов
Не подходит, если
- Нет аккаунта HackerOne и API-токена: сервер без них не получит ни ваши отчеты, ни программы
- Цель находится вне области действия программы: проверка без разрешения владельца может быть незаконной, а сервер этого не контролирует
- Нужен сканер, который сам запускает проверки против цели: h1-brain готовит сводку и ничего не отправляет на цель
- Нужны данные других платформ, например Bugcrowd или Intigriti: сервер работает только с HackerOne
Пример запроса к агенту
Вызови hack для программы security и покажи, какие ресурсы с вознаграждением у меня еще не провереныMCP
- Транспорт
- stdio
- Авторизация
- API-ключ
Переменные окружения
H1_USERNAMEобязательная- Имя пользователя HackerOne
H1_API_TOKENобязательная, секрет- API-токен HackerOne со страницы настроек
Ограничения
- Нужен Python 3.10 или новее, клон репозитория и виртуальное окружение. Пакета в PyPI или npm нет, путь к server.py задается вручную.
- Нужен API-токен HackerOne и имя пользователя. Токен выдается на странице настроек HackerOne и открывает доступ к вашим отчетам.
- Публичная база содержит только раскрытые отчеты с выплатой и описанием: редактированные и пустые исключены.
- Инструкции из hack_instructions.md переводят агента в наступательный режим, поэтому используйте сервер только на программах, где у вас есть разрешение.
Как отключить. Выполните claude mcp remove h1-brain для Claude Code или удалите блок h1-brain из claude_desktop_config.json. Токен HackerOne отзовите на странице настроек HackerOne. Локальная база h1_data.db лежит рядом с server.py, удалите ее, если личные отчеты больше не нужны.
Частые вопросы
Как подключить h1-brain к Claude Code?
Склонируйте репозиторий, создайте venv и установите зависимости, затем выполните claude mcp add h1-brain -e H1_USERNAME=логин -e H1_API_TOKEN=токен -- /путь/к/venv/bin/python /путь/к/server.py. Для Claude Desktop тот же блок добавляется в claude_desktop_config.json.
Что делать после подключения?
Один раз вызовите fetch_rewarded_reports: это самый важный шаг, он загружает ваши отчеты с вознаграждением и описаниями. Потом fetch_programs подтянет доступные программы.
Где хранятся мои данные?
Личные отчеты, программы, области действия и переписки лежат в локальном файле h1_data.db, который создается автоматически и исключен из git. Публичная база disclosed_reports.db входит в репозиторий. К HackerOne сервер обращается только по вашему токену.
Можно ли выгрузить отчеты в markdown?
Да. fetch_program_reports(handle, out_dir) тянет все ваши отчеты по программе во всех статусах с перепиской и сохраняет каждый как markdown-файл, плюс raw-копии в JSON и файл index.md.
Нужен ли токен HackerOne для поиска по публичным отчетам?
Нет. База disclosed_reports.db уже лежит в репозитории, и искать по ней можно сразу после подключения. Токен нужен для ваших отчетов, программ и областей действия.
Обсуждение
Вопросов и отзывов пока нет.
Похожие
MCP-серверыMCP-сервер и CLI для реверс-инжиниринга: агент разбирает бинарные файлы, JavaScript-приложения, APK и сайты на вашей машине и приводит доказательства
Девять скиллов, через которые агент запускает пентест Strix, разбирает найденные уязвимости и встраивает проверку в CI
Роутер скиллов для авторизованного реверс-инжиниринга, пентеста, CTF и разбора угроз: подбирает методику под задачу и проверяет доступные инструменты
Скилл аудита безопасности кода от Cloudflare: агент проходит разведку, охоту по покрытию и независимую проверку находок и выдает структурированный отчет
Библиотека скиллов по кибербезопасности: форензика, реагирование на инциденты, пентест, облака и анализ вредоносов с привязкой к MITRE ATT&CK и NIST
Открытый стек NVIDIA для запуска OpenClaw, Hermes и LangChain Deep Agents в песочницах OpenShell с сетевыми политиками и управляемым инференсом
Сравнение с похожими
Записи с тем же главным запросом: чем они отличаются.
| Запись | Официальный | Авторизация | Звезды репозитория | Главное отличие |
|---|---|---|---|---|
| h1-brain (эта запись) | нет | API-ключ | 356 | |
| Pentest Agent Suite | нет | ключ необязателен | 1 030 | набор субагентов и MCP-серверов для самих проверок, а h1-brain хранит историю и готовит сводку |
| MCP Kali Server | нет | не нужна | 859 | запускает nmap, sqlmap и другие инструменты Kali по команде агента |
Коротко о README
Проект описывает схему обмена с HackerOne и устройство двух баз, личной и публичной. За подробностями автор отправляет к циклу из трех статей о настройке и работе на реальной программе.