MainAI / Cyber
DA EN
Snak med os
Snak med os — uforpligtende
MainAI Cyber · autoriseret angreb Surface + deep · bevis for hvert fund

Kend terrænet.
Først.

Ragering af Hermes med kaduceus

Vi finder det, en angriber ville se først — med skriftlig tilladelse, bevis for hvert fund og en plan, der kan lukke hullerne.

Se et gennemløb En uforpligtende snak

Uforpligtende · vi starter først efter skriftligt mandat

100–1000s agenter i parallel 1–100+ domæner 0 skrivninger som standard Fast pris efter scope

Overflade og dybde.Offentlige services og interne systemer. Prioriteret efter risiko.

Bevis, ikke støj.Hvert fund har en vej, der kan gentages.

Safe harbour.Skriftlig tilladelse, klart scope, stopbetingelser.

Rapport og gratis re-test.I får rettelsen verificeret.

“Kend modstanderen og kend dig selv; i hundrede slag er du ikke i fare.”
Sun Tzu · The Art of War · efter Lionel Giles, 1910
Hermes · budbringeren over grænsenRijksmuseum · CC0
Doktrinen

Terrænet.
Budbringeren.
Blikket.

Art of War er ikke et slogan. Det er rækkefølgen: forstå jorden, send den rette budbringer, se alt — og slip først grebet, når beviset er der. Vi gør det med tilladelse.

Bambus-slips med teksten til Art of War
Bambus-slips · Art of War
Gary Todd · Wikimedia CommonsCC0
01 · Terrænet

Vi kortlægger det offentlige først.

Domæner, services, versioner, veje ind. Ingen gæt, ingen støj.

surfaceDNSTLS
Ragering af Hermes med kaduceus
Hermes · budbringeren
Rijksmuseum · RP-P-OB-71.061CC0
02 · Budbringeren

Én rolle. Ét spor.

Agenterne går i parallel, men hver har et snævert scope og et revisionsspor.

swarmscopetrace
Kobberstik af Juno, påfuglen og Argus’ mange øjne
Argus · de mange øjne
Rijksmuseum · RP-P-2014-34-12ACC0
03 · Blikket

Hundredvis af øjne. Ét terræn.

Overflade og dybde. Fund prioriteres efter risiko, ikke efter larm.

deepevidencepriority
Et gennemløb

Se, hvad en angriber ser.

Et illustrativt domæne. Start swarmen og følg fundene komme ind — fra overflade til dybde. Intet her går ud over siden.

Scope nordhavn.dk
Klar · 0/4 fund Autoriseret · lab

> Venter på start. Scope læst. 4 agentroller klar.

> Illustrativ visning · alle fund og beviser vist.

Fund0/4

Tryk start. Fundene vises her, efterhånden som de valideres.

Alvor: Kritisk · Dybde

Admin uden MFA

Et offentligt admin-login accepterer adgangskoder uden anden faktor og uden lockout.

GET /admin HTTP/1.1 Host: beta.nordhavn.dk → 200 · login · ingen MFA → 5 forsøg/sek · ingen lockout

FixSlå MFA til og sæt rate limit på login.

Klar til re-test
Alvor: Høj · Dybde

IDOR i faktura-API

Et objektopslag tjekker ikke tenant. Kunde A kan hente kunde B’s faktura ved at ændre id.

GET /v1/invoices/1042 Authorization: Bearer <kunde-A> → 200 application/pdf → kunde-B’s faktura

FixTjek tenant-id på alle objektopslag.

Re-test planlagt
Alvor: Middel · Overflade

TLS udløber om 9 dage

Certifikatet udløber snart, og der er ingen automatisk fornyelse.

notAfter=2026-11-04T09:14Z issuer=Let’s Encrypt auto-renew=ingen

FixForny certifikatet og overvåg udløbsdato.

Klar til re-test
Alvor: Lav · Overflade

Source map eksponeret

Produktionens source map er offentligt og viser kildekode og interne stier.

GET /assets/app.js.map → 200 application/json → 1.842 kildelinjer

FixFjern .map fra produktion eller læg den bag auth.

Ikke planlagt

Rapportklar · 4 fund

Se rapportudsnit

Illustrativt gennemløb · fund, services og tal er eksempler, ikke en kundekørsel.

Rapporten

Fund. Bevis. Rettelse.

Sådan leverer vi. Et uddrag af den illustrative rapport — hvert fund med berørt service, bevis, fix og re-test.

RAPPORT · CYB-261026-NORDHAVNIllustrativt uddrag · redigeret
4fund
1kritisk
100%med bevis
0ændret data

Admin uden MFA

beta.nordhavn.dk/admin · dybde

Bevis

GET /admin → 200 · login ingen MFA · ingen lockout 5 forsøg/sek

Et offentligt admin-login accepterer adgangskoder uden anden faktor og uden lockout.

Fix og re-test

Slå MFA til og sæt rate limit på login.

Klar til re-test

IDOR i faktura-API

api.nordhavn.dk/v1/invoices/1042 · dybde

Bevis

GET /v1/invoices/1042 Bearer <kunde-A> → 200 kunde-B’s PDF

Et objektopslag tjekker ikke tenant. Kunde A kan hente kunde B’s faktura ved at ændre id.

Fix og re-test

Tjek tenant-id på alle objektopslag.

Re-test planlagt

TLS udløber om 9 dage

nordhavn.dk:443 · overflade

Bevis

notAfter=2026-11-04T09:14Z auto-renew=ingen

Certifikatet udløber snart, og der er ingen automatisk fornyelse.

Fix og re-test

Forny certifikatet og overvåg udløbsdato.

Klar til re-test

Source map eksponeret

app.nordhavn.dk/assets/app.js.map · overflade

Bevis

GET /assets/app.js.map → 200 application/json · 1.842 linjer

Produktionens source map er offentligt og viser kildekode og interne stier.

Fix og re-test

Fjern .map fra produktion eller læg den bag auth.

Ikke planlagt
Re-test: 2 klar · 1 planlagt · 1 ikke planlagtIngen kundedata · kun eksempel
MainAI Cyber · platformen

Vi slipper swarmen løs.
I får kortet.

MainAI Cyber-modellen er åben og cybertrænet. Den orkestrerer hundredvis af agenter på boxen — hver med en rolle, et scope og et spor. Ingen data forlader huset for at tænke.

ARGUS · blikket
Rijksmuseum · RP-P-2014-34-12ACC0
01 · Modellen

Åben. Cybertrænet. På boxen.

Vores egen state of the art-model, open source og trænet til at se som en angriber. Inferensen kører privat.

open sourceon-boxinference

ingen tredjepart

02 · Swarm

Hundreder af roller. Ét terræn.

100–1000s agenter i parallel: opdagelse, validering, bevis og prioritering. Hver agent har et snævert scope.

surfacedeepinternal

scope pr. agent

03 · Beviset

Fund, der kan tjekkes.

Reproducerbar vej, berørt service, lavrisiko-fix og én gratis re-test. Ingen løse påstande.

evidencefixretest

leverance

Til SME og enterprise. Fast pris efter aftalt scope. Alt kører på boxen.

Snak om en kørsel
Niveauer

Ét domæne.
Eller hele virksomheden.

Samme motor. Forskelligt terræn. Alle kørsler er faste priser efter scope — og alle slutter med rapport, bevis og én gratis re-test.

01

Enkelt domæne

Til SME

Ét offentligt domæne. Overflade og dybde. I får et klart billede, før nogen andre får det.

  • Ét domæne og dets offentlige services
  • Rapport, bevis og én gratis re-test
  • Fast pris efter scope
Snak om niveauet
02

Enterprise · overflade

Flere domæner

Jeres offentlige flade: domæner, apps og services. Swarmen prioriterer efter risiko, ikke efter rækkefølge.

  • 2–100+ domæner og services
  • Prioriteret rapport og én gratis re-test
  • Fast pris efter scope
Snak om niveauet
03

Enterprise · indre

Interne services

Det, I ikke kan se udefra. Via on-prem agent eller VPN — samme model, samme bevis.

  • On-prem agent eller afgrænset VPN
  • Interne services og arkitektur
  • Rapport, bevis og én gratis re-test
Snak om niveauet

Ingen beløb på siden: scope og fast pris aftales, før swarmen slippes løs.

Metoden

Fem trin. Ingen blinde vinkler.

Vi går fra aftale til bevis i en rækkefølge, der kan tjekkes. Hvert trin har et output, og intet trin springes over.

01

Aftale og scope

Domæner, services, vindue og stopbetingelser.

scope.md · auth.pdf
02

Overflade

DNS, TLS, headers, services, versioner og veje ind.

dns · tls · paths
03

Dybde

Auth, IDOR, injektion, SSRF, forretningslogik og hemmeligheder.

auth · idor · logic
04

Rapport

Bevis, alvor, berørt service, fix og rå logs.

evidence · severity
05

Re-test

Vi verificerer rettelsen, lukker eller genåbner. Én re-test er gratis.

retest · closed
Terrænet

Web. API. Mobil-backend. Interne services. Cloud. Legacy. Og det, I helst vil have bevist.

Offentligt

DNS · TLS · headers · services · versioner · stier

Dybt

auth · sessioner · IDOR · injektion · SSRF · logik

Bevis

request/response · logs · skærmbilleder · hash · tidsstempel

Leverance

prioriteret rapport · fix · re-test · rå logs

Hvorfor det holder

Et lag ad gangen.
Altid aftalt.

Swarmen er stor, men grænserne er små. Vi læser først, skriver kun efter aftale og stopper, hvis noget rører sig.

0

Læsning først

Vi skriver ikke i produktion, medmindre I beder om det. Standard er read-only.

→

Scope pr. agent

Hver agent får kun lov til sit eget lille område. Ingen fri hånd.

■

Stopbetingelser

Kritiske fund, nedbrud eller tvivl: vi stopper og spørger, før vi går videre.

Safe harbour

Hvid hat.
Skriftligt.

Vi går kun derind, hvor I har givet os nøglen. Alt andet er uden for scope. Sådan holder vi testen rolig, også når den er skarp.

01

Skriftlig tilladelse

Underskrevet scope før den første request. Ingen mundtlige gråzoner.

02

Kendt vindue

Datoer og tider aftales på forhånd. Ingen overraskelser i driftstid.

03

Stopbetingelser

Kritiske fund, nedbrud eller tvivl: swarmen stoppes, og I hører fra os.

04

Data bliver på boxen

Modeller, logs og fund bliver i huset. Ingen tredjepart, ingen sky.

05

Ingen tredjepart

Ingen CDN’er, analytics eller eksterne API’er i kørslen.

White hat · ansvarlig disclosure · re-testSnak om safe harbour
Partnere

Revisionshuse. Advokater. Sikkerhedsvirksomheder.

De kan levere vores kørsel under eget navn. Vi leverer modellen, swarmen og beviset.

Start

En kort snak.
Ingen forpligtelse.

Fortæl kort, hvad I gerne vil have klarhed over. Vi vender tilbage med næste skridt — ikke en faktura. En snak starter ingen kørsel.

  1. 0115 min: terræn, mål og grænser.
  2. 02Scope og fast pris, kun hvis I vil videre.
  3. 03Kørsel, rapport og én gratis re-test.

Uforpligtende snak

Svar inden 1 dag · ingen binding

Kun navn og mail er nødvendige · info@mainai.dk