MainAI Cyber · autoriseret angreb Surface + deep · bevis for hvert fund

Kend terrænet.
Kend dig selv.
Før nogen andre gør.

Vi slipper hundredvis af agenter løs på jeres offentlige overflade og interne services — med skriftlig tilladelse og bevis for hvert fund.

Se et gennemløb Book en kørsel

100–1000s agenter i parallel 1–100+ domæner 0 skrivninger som standard Fast pris efter scope

Overflade og dybde.Offentlige services og interne systemer. Prioriteret efter risiko.

Bevis, ikke støj.Hvert fund har en vej, der kan gentages.

Safe harbour.Skriftlig tilladelse, klart scope, stopbetingelser.

Rapport og gratis re-test.I får rettelsen verificeret.

“Kend modstanderen og kend dig selv; i hundrede slag er du ikke i fare.”

Sun Tzu · The Art of War · efter Lionel Giles, 1910

Hermes · budbringeren over grænsenRijksmuseum · CC0

Doktrinen

Terrænet.
Budbringeren.
Blikket.

Art of War er ikke et slogan. Det er rækkefølgen: forstå jorden, send den rette budbringer, se alt — og slip først grebet, når beviset er der. Vi gør det med tilladelse.

Bambus-slips med teksten til Art of War — Bambus-slips · Art of War
Gary Todd · Wikimedia CommonsCC0

01 · Terrænet

Vi kortlægger det offentlige først.

Domæner, services, versioner, veje ind. Ingen gæt, ingen støj.

surfaceDNSTLS

02 · Budbringeren

Én rolle. Ét spor.

Agenterne går i parallel, men hver har et snævert scope og et revisionsspor.

swarmscopetrace

Kobberstik af Juno, påfuglen og Argus’ mange øjne — Argus · de mange øjne
Rijksmuseum · RP-P-2014-34-12ACC0

03 · Blikket

Hundredvis af øjne. Ét terræn.

Overflade og dybde. Fund prioriteres efter risiko, ikke efter larm.

deepevidencepriority

Et gennemløb

Se, hvad en angriber ser.

Et illustrativt domæne. Start swarmen og følg fundene komme ind — fra overflade til dybde. Intet her går ud over siden.

Scope nordhavn.dk

Klar · 0/4 fund Autoriseret · lab

> Venter på start. Scope læst. 4 agentroller klar.

> Illustrativ visning · alle fund og beviser vist.

Fund0/4

Tryk start. Fundene vises her, efterhånden som de valideres.

Alvor: Kritisk · Dybde

Admin uden MFA

Et offentligt admin-login accepterer adgangskoder uden anden faktor og uden lockout.

GET /admin HTTP/1.1
Host: beta.nordhavn.dk
→ 200 · login · ingen MFA
→ 5 forsøg/sek · ingen lockout

FixSlå MFA til og sæt rate limit på login.

Klar til re-test

Alvor: Høj · Dybde

IDOR i faktura-API

Et objektopslag tjekker ikke tenant. Kunde A kan hente kunde B’s faktura ved at ændre id.

GET /v1/invoices/1042
Authorization: Bearer <kunde-A>
→ 200 application/pdf
→ kunde-B’s faktura

FixTjek tenant-id på alle objektopslag.

Re-test planlagt

Alvor: Middel · Overflade

TLS udløber om 9 dage

Certifikatet udløber snart, og der er ingen automatisk fornyelse.

notAfter=2026-11-04T09:14Z
issuer=Let’s Encrypt
auto-renew=ingen

FixForny certifikatet og overvåg udløbsdato.

Klar til re-test

Alvor: Lav · Overflade

Source map eksponeret

Produktionens source map er offentligt og viser kildekode og interne stier.

GET /assets/app.js.map
→ 200 application/json
→ 1.842 kildelinjer

FixFjern .map fra produktion eller læg den bag auth.

Ikke planlagt

Rapportklar · 4 fund

Se rapportudsnit

Illustrativt gennemløb · fund, services og tal er eksempler, ikke en kundekørsel.

Rapporten

Fund. Bevis. Rettelse.

Sådan leverer vi. Et uddrag af den illustrative rapport — hvert fund med berørt service, bevis, fix og re-test.

RAPPORT · CYB-261026-NORDHAVNIllustrativt uddrag · redigeret

4fund

1kritisk

100%med bevis

0ændret data

Admin uden MFA

beta.nordhavn.dk/admin · dybde

Bevis

GET /admin → 200 · login
ingen MFA · ingen lockout
5 forsøg/sek

Et offentligt admin-login accepterer adgangskoder uden anden faktor og uden lockout.

Fix og re-test

Slå MFA til og sæt rate limit på login.

Klar til re-test

IDOR i faktura-API

api.nordhavn.dk/v1/invoices/1042 · dybde

Bevis

GET /v1/invoices/1042
Bearer <kunde-A> → 200
kunde-B’s PDF

Et objektopslag tjekker ikke tenant. Kunde A kan hente kunde B’s faktura ved at ændre id.

Fix og re-test

Tjek tenant-id på alle objektopslag.

Re-test planlagt

TLS udløber om 9 dage

nordhavn.dk:443 · overflade

Bevis

notAfter=2026-11-04T09:14Z
auto-renew=ingen

Certifikatet udløber snart, og der er ingen automatisk fornyelse.

Fix og re-test

Forny certifikatet og overvåg udløbsdato.

Klar til re-test

Source map eksponeret

app.nordhavn.dk/assets/app.js.map · overflade

Bevis

GET /assets/app.js.map → 200
application/json · 1.842 linjer

Produktionens source map er offentligt og viser kildekode og interne stier.

Fix og re-test

Fjern .map fra produktion eller læg den bag auth.

Ikke planlagt

Re-test: 2 klar · 1 planlagt · 1 ikke planlagtIngen kundedata · kun eksempel

MainAI Cyber · platformen

Vi slipper swarmen løs.
I får kortet.

MainAI Cyber-modellen er åben og cybertrænet. Den orkestrerer hundredvis af agenter på boxen — hver med en rolle, et scope og et spor. Ingen data forlader huset for at tænke.

ARGUS · blikket
Rijksmuseum · RP-P-2014-34-12ACC0

01 · Modellen

Åben. Cybertrænet. På boxen.

Vores egen state of the art-model, open source og trænet til at se som en angriber. Inferensen kører privat.

open sourceon-boxinference

ingen tredjepart

02 · Swarm

Hundreder af roller. Ét terræn.

100–1000s agenter i parallel: opdagelse, validering, bevis og prioritering. Hver agent har et snævert scope.

surfacedeepinternal

scope pr. agent

03 · Beviset

Fund, der kan tjekkes.

Reproducerbar vej, berørt service, lavrisiko-fix og én gratis re-test. Ingen løse påstande.

evidencefixretest

leverance

Til SME og enterprise. Fast pris efter aftalt scope. Alt kører på boxen.

Book en kørsel

Niveauer

Ét domæne.
Eller hele virksomheden.

Samme motor. Forskelligt terræn. Alle kørsler er faste priser efter scope — og alle slutter med rapport, bevis og én gratis re-test.

Enkelt domæne

Til SME

Ét offentligt domæne. Overflade og dybde. I får et klart billede, før nogen andre får det.

Ét domæne og dets offentlige services
Rapport, bevis og én gratis re-test
Fast pris efter scope

Book

Enterprise · overflade

Flere domæner

Jeres offentlige flade: domæner, apps og services. Swarmen prioriterer efter risiko, ikke efter rækkefølge.

2–100+ domæner og services
Prioriteret rapport og én gratis re-test
Fast pris efter scope

Book

Enterprise · indre

Interne services

Det, I ikke kan se udefra. Via on-prem agent eller VPN — samme model, samme bevis.

On-prem agent eller afgrænset VPN
Interne services og arkitektur
Rapport, bevis og én gratis re-test

Book

Ingen beløb på siden: scope og fast pris aftales, før swarmen slippes løs.

Metoden

Fem trin. Ingen blinde vinkler.

Vi går fra aftale til bevis i en rækkefølge, der kan tjekkes. Hvert trin har et output, og intet trin springes over.

Aftale og scope

Domæner, services, vindue og stopbetingelser.

scope.md · auth.pdf

Overflade

DNS, TLS, headers, services, versioner og veje ind.

dns · tls · paths

Dybde

Auth, IDOR, injektion, SSRF, forretningslogik og hemmeligheder.

auth · idor · logic

Rapport

Bevis, alvor, berørt service, fix og rå logs.

evidence · severity

Re-test

Vi verificerer rettelsen, lukker eller genåbner. Én re-test er gratis.

retest · closed

Terrænet

Web. API. Mobil-backend. Interne services. Cloud. Legacy. Og det, I helst vil have bevist.

Offentligt

DNS · TLS · headers · services · versioner · stier

Dybt

auth · sessioner · IDOR · injektion · SSRF · logik

Bevis

request/response · logs · skærmbilleder · hash · tidsstempel

Leverance

prioriteret rapport · fix · re-test · rå logs

Hvorfor det holder

Et lag ad gangen.
Altid aftalt.

Swarmen er stor, men grænserne er små. Vi læser først, skriver kun efter aftale og stopper, hvis noget rører sig.

Læsning først

Vi skriver ikke i produktion, medmindre I beder om det. Standard er read-only.

→

Scope pr. agent

Hver agent får kun lov til sit eget lille område. Ingen fri hånd.

■

Stopbetingelser

Kritiske fund, nedbrud eller tvivl: vi stopper og spørger, før vi går videre.

Safe harbour

Hvid hat.
Skriftligt.

Vi går kun derind, hvor I har givet os nøglen. Alt andet er uden for scope. Sådan holder vi testen rolig, også når den er skarp.

Skriftlig tilladelse

Underskrevet scope før den første request. Ingen mundtlige gråzoner.

Kendt vindue

Datoer og tider aftales på forhånd. Ingen overraskelser i driftstid.

Stopbetingelser

Kritiske fund, nedbrud eller tvivl: swarmen stoppes, og I hører fra os.

Data bliver på boxen

Modeller, logs og fund bliver i huset. Ingen tredjepart, ingen sky.

Ingen tredjepart

Ingen CDN’er, analytics eller eksterne API’er i kørslen.

White hat · ansvarlig disclosure · re-testBook en kørsel

Partnere

Revisionshuse. Advokater. Sikkerhedsvirksomheder.

De kan levere vores kørsel under eget navn. Vi leverer modellen, swarmen og beviset.

Start

Book en kørsel.
Få terrænet.

Skriv domæne og niveau. Vi vender tilbage med scope, vindue og fast pris — og spørger, hvis noget er uklart.

0130 min: terræn, mål og grænser.
02Scope og fast pris, skriftligt.
03Kørsel, rapport og én gratis re-test.

Kend terrænet.Kend dig selv.Før nogen andre gør.

Terrænet.Budbringeren.Blikket.

Vi kortlægger det offentlige først.

Én rolle. Ét spor.

Hundredvis af øjne. Ét terræn.

Se, hvad en angriber ser.

Admin uden MFA

IDOR i faktura-API

TLS udløber om 9 dage

Source map eksponeret

Fund. Bevis. Rettelse.

Bevis

Fix og re-test

Bevis

Fix og re-test

Bevis

Fix og re-test

Bevis

Fix og re-test

Vi slipper swarmen løs.I får kortet.

Åben. Cybertrænet. På boxen.

Hundreder af roller. Ét terræn.

Fund, der kan tjekkes.

Ét domæne.Eller hele virksomheden.

Enkelt domæne

Enterprise · overflade

Enterprise · indre

Fem trin. Ingen blinde vinkler.

Aftale og scope

Overflade

Dybde

Rapport

Re-test

Offentligt

Dybt

Bevis

Leverance

Et lag ad gangen.Altid aftalt.

Læsning først

Scope pr. agent

Stopbetingelser

Hvid hat.Skriftligt.

Skriftlig tilladelse

Kendt vindue

Stopbetingelser

Data bliver på boxen

Ingen tredjepart

Book en kørsel.Få terrænet.

Book en kørsel

Kend terrænet.
Kend dig selv.
Før nogen andre gør.

Terrænet.
Budbringeren.
Blikket.

Vi slipper swarmen løs.
I får kortet.

Ét domæne.
Eller hele virksomheden.

Et lag ad gangen.
Altid aftalt.

Hvid hat.
Skriftligt.

Book en kørsel.
Få terrænet.