0sec Labs випустила open-source harness 0 для AI-пентесту під ліцензією MIT OR Apache-2.0: за даними MarkTechPost, найкращий самозвітний результат на XBOW становить 93 з 95 веб-задач (97,9%).

Ця цифра отримана за групуванням «будь-який успіх» на когорті gpt-5.4, а не за pass@1. Об'єднання лише чорноскринькових прогонів дає 81 з 104 (77,9%), а холодний запуск 2026 року дав 45 з 104 (43,3%). Знаменники різні (95 проти 104), тому прямо порівнювати ці результати не можна. Усі оцінки самозвітні. Записана вартість становила близько $5,20 за розв'язану задачу XBOW.

Що таке 0 і чим він не є?

0 від швейцарської 0sec Labs є обгорткою навколо LLM і security-інструментів, а не моделлю. Ви підключаєте власного провайдера, а 0 запускає сценарії проти авторизованих цілей.

Підтримуваних провайдерів 14, серед них OpenAI, Anthropic, DeepSeek, OpenRouter, Azure, Qwen, Kimi, GLM і Grok. Також є runtime-и Claude, Codex і Gemini CLI. GPU не потрібен: інференс іде у провайдера, а сам harness працює на Apple Silicon macOS, x64 або ARM64 Linux чи в контейнері ghcr.io/0sec-labs/0.

Як 0 перевіряє знахідки?

Агентний скан у 0 іде за концептуальним пайплайном: планування, пошук і атака, фільтрація слабких знахідок, верифікація, звіт. На верифікацію окрема сесія має 5 ходів на кожну знахідку. Звіти виходять у HTML, PDF, SARIF, Markdown і JSON.

Вебпентест побудований навколо shell: агент користується bash, curl, python3 і sqlmap, а не фіксованим набором HTTP-інструментів. Для скомпільованих цілей є окремий рушій 0verse на базі Ghidra, angr і AFL++, а його локальний MCP-сервер дає 9 інструментів. Серед публічних результатів дослідницька сторінка згадує понад 30 злитих знахідок (0-day) у ядрі Linux.

Як підключити 0 до свого процесу?

Локальний запуск не потребує акаунта: після інсталяційного скрипта команда 0 відкриває браузерну консоль із чатом, чергою знахідок, шаблонами workflow, skills і памʼяттю. У README репозиторію для автоматизації є CLI з командами 0 workflow run і 0 runs list, а для кодинг-агентів MCP-сервер: 0 mcp-server --workflows --workspace /absolute/path/to/repo.

Що це означає для України?

Сам harness безкоштовний, платите лише провайдеру моделі. Сторінка цін, за даними MarkTechPost, показує $100 пробних кредитів і $5 за PR-тест безпеки. За курсом НБУ на 10.11.2026 (45,41 грн за долар) це приблизно 4541 грн і 227 грн відповідно. Це перерахунок, а не сума в рахунку. Джерела розходяться щодо доступу до хмарного 0cloud: MarkTechPost пише про waitlist, а README веде на реєстрацію. Офіційно доступність в Україні не вказана.

Що врахувати перед запуском?

README попереджає: типова оболонка 0 працює на вашому хості, тож для недовіреної роботи потрібен ізольований executor. Локальний MCP вимагає явно вибраного профілю host-local виконання.