Inicie sua máquina dedicada para começar a hackear
- 1Crie uma conta grátis e clique em "Iniciar Lab"Você receberá sua própria máquina com um endereço IP
- 2Explore o alvoAbra o IP no seu navegador e procure vulnerabilidades
- 3Encontre e envie as flagsFlags são textos secretos escondidos no sistema - cole-os abaixo para pontuar
- ~1-2 min de configuração
- Instância privada
- 30 min por sessão. Reinicie de graça, quantas vezes quiser.
O vazamento Mythos real, março de 2026
Em março de 2026, a Fortune reportou que um grande laboratório de IA havia exposto acidentalmente milhares de ativos não publicados através do seu CMS headless. Entre eles estava um rascunho de post anunciando um modelo de ponta ainda não lançado. Dois pesquisadores de segurança, Roy Paz da LayerX e Alexandre Pauwels da Universidade de Cambridge, o descobriram. Todo o incidente se resumia a um único erro de configuração em uma plataforma do mundo real que alimenta muitos sites de marketing que você já visitou.
Você é o pesquisador
Este lab coloca você na mesma posição inicial de Roy e Alexandre: uma página de marketing, um palpite e uma única sessão de curl. Você traz a curiosidade. O lab traz uma reprodução fiel da mesma má configuração, na mesma plataforma, com os mesmos formatos de API - até as respostas de erro que você veria ao sondar o serviço real hoje.
Indo além do relatório público
A primeira etapa deste lab é uma reprodução fiel do incidente. A segunda etapa vai além: há algo que a equipe achava ter trancado, e a mesma má configuração que expôs o rascunho também o torna acessível se você olhar no lugar certo. Praticar a cadeia completa de forma hands-on é a maneira mais rápida de construir o instinto para detectar o mesmo padrão em um engajamento real.
O que você vai aprender
- Identificar um CMS de terceiros a partir de pistas no front-end
- Enumerar conteúdo exposto via uma API pública mal configurada
- Recuperar informações que foram apagadas mas não realmente removidas
- Encadear acesso anônimo em acesso autenticado através de fronteiras de confiança
- Reconhecer configurações públicas por padrão em plataformas CMS headless modernas
