Accessi e isolamento
Controllo se identità, ruoli e confini tra ambienti impediscono davvero operazioni o accessi non autorizzati.
Ricerca indipendente / HackerOne
Bug bounty e ricerca di sicurezza.
Ho individuato vulnerabilità critiche e ad alta gravità, riconosciute e premiate attraverso HackerOne. Seguo le segnalazioni dalla riproduzione alle verifiche successive.
Registro al 20 settembre 2026
I risultati dei report.
14 report riconosciuti o premiati.
6 risolti · 7 triaged · 1 ulteriore duplicato riconosciuto e premiato.
11 bounty: 11.050 USD
Retest: 250 USD · Premi complessivi: 11.300 USD.
| Programma | Gravità | Esito | Bounty assegnata |
|---|---|---|---|
| Neon | Critical | Risolto | 5000 USD |
| Notion | High | Risolto | 2000 USD |
| Airtable | High | Risolto | 750 USD |
| Spotify | Medium | Risolto | 700 USD |
| Privy | Medium | Risolto | 500 USD |
| Privy | Low | Risolto | 250 USD |
| Twilio | Medium | Triaged | 300 USD |
| Anthropic | Low | Triaged | 100 USD |
| Zabbix | Medium | Triaged | 500 USD |
| Zabbix | Low | Triaged | 200 USD |
| Lightspark | High | Duplicato riconosciutoStato della piattaforma: Informative | 750 USD |
| Privy | Medium | Triaged | Non ancora assegnata |
| Programma privato | Low | Triaged | Non ancora assegnata |
| Discourse | Medium | Triaged | Non ancora assegnata |
Nessun report corrisponde a questi filtri. Puoi azzerarli per tornare al registro completo.
Triaged indica una segnalazione confermata dal programma, ancora aperta. Il duplicato premiato è distinto dai report risolti. Importi assegnati dai programmi, con i retest indicati separatamente.
Fonti e criteri del registro
I conteggi e gli importi riepilogano i miei report e le comunicazioni dei programmi su HackerOne, verificati il 20 settembre 2026. Stati, gravità e premi sono riportati separatamente. Il profilo pubblico su HackerOne permette di verificare identità e riconoscimenti; i dettagli dei report possono restare riservati fino all’autorizzazione alla divulgazione.
Ricerca indipendente di sicurezza
Riconoscimenti su HackerOne.
Programmi da cui ho ricevuto riconoscimenti per la ricerca di sicurezza. I marchi non indicano incarichi professionali o endorsement.
Le aree della mia ricerca
Che cosa verifico.
Sviluppare integrazioni mi porta a lavorare sugli stessi confini che studio nella ricerca: identità, dati e operazioni consentite.
Integrazioni AI e MCP
Studio come modelli, strumenti e servizi esterni si scambiano dati e con quali autorizzazioni possono agire.
Permessi e revoche
Verifico che le modifiche ai permessi abbiano effetto anche sulle sessioni e sui percorsi di accesso già esistenti.
Regole applicative
Esamino i vincoli dei processi e i casi limite: stati incompatibili, operazioni ripetute e passaggi fuori sequenza.
Dalla segnalazione al retest
Una prova che un altro
team possa verificare.
Riproduzione, evidenze, confronto con il programma e controllo della correzione: ogni fase produce qualcosa di concreto.
Riprodurre il comportamento
Isolo le condizioni che producono il problema, verifico i permessi e confronto il risultato con il comportamento atteso.
Output: un caso minimo riproducibile, con precondizioni e impatto.
Un esempio da esplorare
Lo stesso documento.
Permessi diversi.
Un esempio locale per capire il controllo degli accessi. È indipendente dai report del registro e non interroga servizi esterni.
Marta · Team A / editor
Confine del team
Documento B · letturaIl tuo prossimo progetto
Parliamo del tuo sistema.
Un’integrazione AI, un’API o un processo da verificare: possiamo partire dal suo funzionamento e dai confini che deve rispettare.
Bastano nome ed email. Ti risponderò personalmente.