BuggyRun 是一款自动化 Web 应用安全审计工具，旨在帮助开发者在攻击者之前发现应用中的漏洞和数据泄露。它的核心定位是让构建者（而不仅是安全团队）也能理解和处理安全问题。
【用途】 BuggyRun 对 Web 应用执行自动化安全审计，找出真正重要的数据泄露与漏洞，并明确告知修复方法。目标是在黑客、泄露和损害发生之前发现风险。
【主要能力】
- 覆盖完整应用：不仅扫描公开页面，还可使用测试凭据或自动登录，深入认证后的私密页面。
- AI 页面探索：AI 爬虫绘制地图，能够到达许多扫描器无法触达的页面；捕获应用发出的每个请求并检查泄露。
- 逐请求泄漏分析：对每个响应检查会话令牌、个人身份信息（PII）、API 密钥和密钥等本不应出现在传输中的敏感数据，可发现上下文相关的泄露（如响应体中回显的令牌），这类问题仅靠模式匹配的扫描器容易遗漏。
- 56+ 项安全检查：每页运行超过 56 项检查，涵盖 HTTP 安全头、TLS/SSL 配置、Cookie 与会话、信息泄露、认证与认证 API、输入验证、服务端注入、客户端漏洞、强制浏览、协议与缓存问题等。
- 输入攻击测试：向表单和 API 发送构造的攻击载荷，以暴露注入和输入处理缺陷。
- 安全的上限测试：通过安全、有上限的负载与速率限制测试，揭示缺失的速率限制和账户锁定（并非压垮应用）。
- AI 代理分诊：将发现按严重程度排序，用通俗英文解释，并给出触发请求和修复建议；用户可向 AI 代理追问，然后一键解决或忽略。
【使用方式】
- 只需输入应用 URL 即可开始，无需 SDK、无需修改代码、无需安装任何东西。
- 支持公开页面与认证页面；可自动登录或使用用户提供的测试凭据。
- 支持按需审计或持续审计（每次部署后运行）。
- 一次运行驱动六阶段引擎：到达公开与应用内页面、捕获每个请求、执行 56+ 项检查、分析响应中的泄漏、对发现的输入进行压力测试、用安全上限的负载测试探测 API，最后由代理用通俗英文完成分诊。
【适用场景】
- 独立构建者和小团队保护自己的产品。
- 需要保护多个产品的团队和代理机构。
- 任何提供 HTTP 服务的技术栈：React、Angular、Vue、Node、Next 等。
【限制】
- 仅允许扫描自己拥有或获得明确授权的目标；未经许可扫描网站违反可接受使用政策。
- 负载和速率限制测试是安全且有上限的，设计目的不是让应用下线。
- 关于自动识别的覆盖范围、误报率等更具体的技术细节，暂未提供。
【定价】
- Starter：19.99 美元/月，每月 10 次审计，不限项目数，自动加手动审计，每个问题提供分步修复。
- Expert：49.99 美元/月，每月 100 次审计，提供 API、Web 和服务界面的持续在线支持，不限项目数，可附加由真实黑客进行的手动测试（可发现扫描器无法捕获的链式利用，每个发现附可直接应用的修复，3 个工作日交付）。
- 两种计划均包含不限项目、完整的六阶段引擎和全部 56+ 项检查。
- 每个账户还可获得一次免费审计。