Meta presenta Zurp, toolkit open source che collega Burp Suite e agenti AI per il bug bounty

• Meta ha rilasciato Zurp, toolkit open source per Burp Suite con server MCP per agenti AI
• Destinato solo a ricercatori accreditati del bug bounty Meta, su asset di test autorizzati
• Richiede Burp Suite 2024.7 o successivo; i token durano 60 giorni
• Utenti non idonei ricevono risposte HTTP 403

Meta ha introdotto Zurp, un toolkit open source che collega i flussi di lavoro di Burp Suite con agenti AI per la programmazione. È pensato per la ricerca autorizzata nell’ambito del programma bug bounty dell’azienda e si rivolge a ricercatori selezionati.

Come funziona

Zurp è un’estensione Java per Burp Suite. Offre anche server MCP (Model Context Protocol, il protocollo che permette agli agenti AI di usare strumenti esterni). Il ricercatore può quindi analizzare il traffico web in Burp Suite e usare, tramite un assistente AI, le stesse API approvate da Meta e lo stesso token di accesso.

Lo strumento è destinato solo a dati e asset di test collegati all’account autorizzato del ricercatore. Meta lo presenta come un confine essenziale per test sicuri e legali.

Le componenti

• Meta View: scheda che aiuta a interpretare gli identificatori nelle richieste e nelle risposte catturate, come URL, valori doc_id di GraphQL, ID di oggetti e operazioni.
• Meta Context: spiega gli identificatori presenti in una richiesta.
• FBDL: aiuta a creare e gestire account e asset di test consentiti nell’ambiente di prova di Meta.
• Gestione CSRF: raccoglie dal traffico di navigazione valori come fb_dtsg, lsd e token CSRF, poi sostituisce i segnaposto supportati prima dell’invio. I valori restano separati per host e account. In questo modo i test di replay autorizzati risultano più stabili.
• SPARTA: fornisce indizi sulle aree da approfondire e mette in coda il lavoro di proof-of-concept in Burp Suite Organizer.

Secondo la documentazione nel repository GitHub, ogni funzione può essere usata da sola o insieme alle altre.

Integrazione con gli agenti AI

Il percorso assistito dall’AI usa tre server MCP distinti: meta-context, fbdl e sparta. Un client MCP compatibile, come Claude Code o Muse Code, può usarli per esaminare una richiesta catturata, riconoscere valori noti di Meta o lavorare con asset di test autorizzati. L’approccio riflette una tendenza più ampia: un supporto AI guidato dall’uomo nei test di sicurezza applicativa, senza sostituire la revisione del ricercatore.

Requisiti e accesso

• Burp Suite 2024.7 o successivo.
• Java 17 per compilare l’estensione dal sorgente.
• Node.js 22.19.0 o successivo per i servizi MCP lato agente.
• Il file zurp.jar precompilato si installa dal menu Extensions, poi si inserisce nelle impostazioni un token da ricercatore Meta.

L’accesso è limitato. Zurp adotta lo stesso modello di allowlist del servizio FBDL, e chi non è idoneo riceve risposte HTTP 403. I token durano 60 giorni. Vanno generati con l’account iscritto al bug bounty, perché un token creato con un altro account può non superare i controlli di autorizzazione.

Il contesto

Nel 2024 il programma bug bounty di Meta ha pagato oltre 2,3 milioni di dollari ai ricercatori. Circa 600 segnalazioni valide sono state premiate, su quasi 10.000 inviate. Codice sorgente e guida all’installazione sono nel repository GitHub di Zurp. I criteri di idoneità di FBDL stabiliscono chi può usare l’ambiente di test approvato.

Fonte: Cyber Security News · Foto: Cyber Security News