YesWeHack menerbitkan panduan komprehensif tentang penggunaan Claude Code dari Anthropic dalam pipeline Bug Bounty hunting. Artikel ini menampilkan hasil pengujian nyata terhadap dua blind vulnerability labs yaitu DOM XSS dan H2.TE request smuggling dengan pendekatan zero-knowledge, menunjukkan kekuatan dan keterbatasan LLM dalam penetration testing.
APA YANG TERJADI?
YesWeHack menjalankan Claude Code melalui dua blind PortSwigger labs tanpa petunjuk tentang jenis vulnerability yang ada. Lab pertama mengandung DOM-based XSS menggunakan web messages dan JavaScript URL. Lab kedua mengandung response queue poisoning via H2.TE HTTP request smuggling. Untuk kedua lab, Claude Code diberikan prompt minimal tanpa hint tentang vulnerability class, dan secara eksplisit dilarang mengakses jawaban yang tersembunyi di dalam lab.
Claude Code berhasil melakukan reconnaissance, fingerprinting, dan identifikasi attack surface dengan sangat cepat. Namun dalam kedua kasus, LLM mengalami kesulitan dalam last mile yaitu membuktikan bahwa exploit benar-benar berfungsi dan menghasilkan working proof of concept yang valid.
DETAIL TEKNIS
Untuk lab DOM XSS, Claude Code dengan Opus 4.8 mengidentifikasi vulnerable client-side JavaScript dalam hitungan detik, memahami source code, dan menulis payload yang sesuai. Namun setelah hampir 15 menit, LLM gagal menyelesaikan challenge karena tidak mengikuti redirect yang dipicu saat delivering exploit ke victim. LLM mengasumsikan bahwa POST request sudah cukup dan tidak memverifikasi apa yang terjadi sesudahnya, sebuah oversight sederhana namun kritis.
Untuk lab H2.TE request smuggling, Claude Code melakukan fingerprinting, menguji XSS dan SQL injection sebelum beralih ke HTTP request smuggling menunjukkan bahwa model tidak mengetahui vulnerability class sebelumnya. Dalam 34 menit, Claude Code mengidentifikasi H2.TE vulnerability dan menemukan potensi response queue poisoning. Hasilnya diverifikasi secara manual menggunakan Burp Suite Intruder yang mengonfirmasi campuran response 200 dan 302 dengan session cookie pengguna lain.
Pengujian menggunakan tiga model berbeda yaitu Opus untuk reasoning kompleks dan verifikasi, Sonnet untuk reconnaissance dan mapping attack surface, serta Haiku untuk high-volume tasks. Konfigurasi MCP menghubungkan Claude Code langsung ke Burp Suite untuk integrasi testing yang mulus.
DAMPAK TERHADAP INDONESIA
Adopsi Claude Code dan AI-assisted bug bounty hunting masih rendah di Indonesia namun potensinya sangat besar mengingat jumlah program bug bounty yang meningkat dan kebutuhan akan vulnerability researcher yang kompeten. Panduan ini relevan bagi red team Indonesia yang ingin meningkatkan coverage testing tanpa menambah headcount. Kemampuan Claude Code dalam melakukan recon dan vulnerability identification secara otonom dapat membantu tim kecil melakukan testing yang sebelumnya membutuhkan sumber daya besar. Namun keterbatasan dalam membuktikan exploitability secara end-to-end menunjukkan bahwa human expertise tetap tidak tergantikan khususnya untuk validasi dan pembuatan proof of concept.
REKOMENDASI MITIGASI
Untuk tim keamanan Indonesia yang ingin mengadopsi Claude Code: mulai dengan menginstal Claude Code dan mengkonfigurasinya dengan Burp Suite MCP server, gunakan model berbeda untuk tugas berbeda, berikan context yang jujur tentang scope testing, buat custom skills untuk menangani blind spot yang sering ditemui LLM seperti memeriksa redirect dan memverifikasi setiap response, serta selalu lakukan manual validation terhadap semua findings sebelum submit report. Untuk penggunaan di lingkungan produksi, ajukan ke Anthropic Cyber Verification Program (CVP).
Analisa Retasan
Pengujian blind lab yang dilakukan YesWeHack memberikan gambaran paling jujur tentang kemampuan aktual LLM dalam vulnerability research. Temuan paling menarik adalah pola konsisten: LLM sangat unggul dalam recon, fingerprinting, dan memahami code logic, namun gagal dalam tahap terakhir yaitu membangun dan membuktikan exploit. Dalam Lab 1, Claude Code mengidentifikasi DOM XSS dalam hitungan detik namun terjebak selama lebih dari 20 menit pada satu redirect yang tidak diikuti. Ini bukan masalah capability model melainkan masalah ketiadaan feedback loop yang memaksa model memverifikasi asumsinya, sebuah kelemahan fundamental dalam agentic loops tanpa validation gates.
Pola ini konsisten dengan temuan dari penggunaan framework seperti RAPTOR yang membahas pipeline validasi 6 tahap untuk memastikan findings genuine sebelum dilaporkan. Dalam kasus Lab 2, Claude Code menunjukkan pendekatan yang lebih matang dengan memulai fingerprinting, membuat daftar hipotesis, dan menguji beberapa vulnerability class. Model juga berhasil menemukan potensi response queue poisoning yang merupakan escalation signifikan. Namun sama seperti Lab 1, model memberikan langkah-langkah verifikasi kepada manusia alih-alih menyelesaikan exploit sendiri.
Bagi komunitas bug bounty Indonesia, temuan ini menegaskan bahwa AI bukan pengganti skilled researcher melainkan amplifier. Claude Code dapat menyelesaikan pekerjaan reconnaissance dan vulnerability identification dalam hitungan menit yang biasanya membutuhkan jam, namun membangun working exploit dan validasi akhir tetap menjadi domain manusia. Custom skills seperti Scrutineer revalidate yang memeriksa findings terhadap git history menjadi kunci untuk mengurangi false positive. Organisasi Indonesia yang menginvestasikan waktu dalam membangun custom skills untuk use case lokal akan memiliki advantage signifikan dalam kompetensi offensive security.
Sumber: How to use Claude Code for Bug Bounty: find fast, validate manually oleh YesWeHack
