Hacktron Automations

发布之后的表现

收入

• indie(TrustMRR)库里没有:按 domain=hacktron.ai、名字词边界匹配均无记录库。这符合库的边界——它采的是「愿意公开 Stripe 流水的独立开发者」,Hacktron 是拿了 VC 的 B2B 公司,不在覆盖范围。
• 唯一公开收入口径来自融资新闻稿:「first nine months 约 $240,000 revenue」(2026-05-13,GlobeNewswire)自报/新闻稿。这是公司自己给的数,没有第三方审计或支付平台流水佐证。
• 定价结构本身能反推量级:若按 $40/席/月,9 个月 $240k 意味着平均约 60–70 个付费席位(且早期含一次性 pentest 收入),属于典型 pre-seed 阶段的小规模验证推断。

用户 / 下载

• appstore、googleplay、macappstore、chromestore 四个库全部没有它库。它是纯 Web/SaaS + Git 集成产品,没有移动端或浏览器扩展,这属于预期内。
• 官网自列客户:Perplexity、Supabase、Vercel、Yoto、Gumroad、Rocket.Chat、Krisp、hackajob、Mobbin 等,并给出三条具名客户证言(Krisp「一周研判 300+ 条发现」、Rocket.Chat「平均 1–2 分钟完成一次 PR 安全审查」、hackajob「81.1% 的发现可执行」)官网。这些是客户自述,无第三方核验。

开发者关注

• GitHub 库里只有 HacktronAI/skills:116 star、14 fork,fork/star = 12.1%,无 suspect 标记,最后 push 2026-06-04库。fork 比 12.1% 落在新库中位数(约 11%)附近,不像刷星;但 116 star 对一个有 491 分 HN 帖的公司来说偏低,说明它的开源只是 CLI 扩展,不是社区资产推断。
• 组织页显示 9 个仓库,其余多为 docs、fork(vercel/next.js、safe-settings)和内部工具,star 都在 0–21官网 GitHub。gain_7d/gain_30d 为 NULL(观测窗口不够),不是 0库。

讨论

• HN 库里 3 条指向 hacktron.ai 的故事,全部是研究博客而非产品发布:2026-09-18《A heap overflow and SSO misconfiguration to compromise OpenAI internal repos》491 分 / 208 评论;2025-11-22 一条 17 分;2026-10-31《We Could Have Backdoored Bash》7 分库。491 分那条被 WSJ、FT、华盛顿邮报报道,是它最有效的一次曝光。
• X 本地库(560 人 core 层)只有 1 条提及,来自 Thom_Wolf(74 赞),且是在讨论「前沿实验室 vs 车库团队」时顺带提到,不是产品讨论库。创始人不在 X 圈子名单里。
• PH 两次发布:2026-04-17 首发「Hacktron」81/88 票、日榜 26、7 评论;2026-08-25「Automations」85/94 票、日榜 17、3 评论库。两次都 featured,但都没进日榜前 10——当天第 1 名是 405 票的 akta.pro库。

官网动态

• 站点活着且更新频繁:changelog 最新条目 2026-10-27(白盒扫描目录级 scope、attestation letters、PR 支持 500 文件),10-21、10-09、09-25 均有版本官网。博客从 2026-02 到 10 月持续产出漏洞研究。
• 定价页是首页锚点 #pricing,独立 /pricing 路径 404官网。SOC 2 Type 1(2026-01-13 公告)、有 trust center 和 status page官网。

自报 vs 实际

没有发现自报数字与库数据直接冲突的地方;主要问题是收入侧完全没有第三方来源。

为什么成了 / 没成

它成在「研究即营销」这条链路上。491 分的 HN 帖、WSJ 报道、CVE-2026-1731(CVSS 9.9)和 PAN-OS 认证绕过,让一个 3 人团队在 9 个月里拿到 $240k 收入和 $2.9M 融资——获客成本几乎为零,这是纯产品型独立开发者复制不了的。产品侧也确实在推进:从 4 月的 PR Review 到 8 月的 Automations 再到 10 月的白盒扫描 scope 控制,半年内把「发现—验证—修复—通知」补齐了。

风险同样清楚:它卖的是 $40/席/月的安全审查,而 Snyk、Semgrep 在同一价位有更宽的覆盖面(SCA、容器、IaC),CodeRabbit 这类 AI 代码审查又在从另一侧挤压;它自己的博客承认严重度分级只有 22% 与人工一致。也就是说,「发现漏洞」已经不难,难的是让安全团队相信它的排序——这决定了它能不能从 $240k 走到 $1M ARR。

对想跟的人

别跟这个位置。它的护城河是「491 分 HN 帖 + WSJ 报道 + CVE 署名」这种研究声誉,不是产品功能——一个独立开发者做出同样的 Automations 功能,拿不到 Perplexity 和 Supabase 的 logo 墙,也拿不到 $40/席的定价权。真要跟,跟它暴露出来的缺口:它自己承认严重度只有 22% 判对、$350 一次扫描按 token 动态计价,那么「给中小团队做固定价、按真实影响排序的轻量 PR 安全审查」还有位置,坑是——一旦你排序不准,客户会像对待传统 SAST 一样直接忽略你的告警,而这件事 Hacktron 用 3 个顶级漏洞研究员都还没完全解决。

没查到的

• indie(TrustMRR):无档案,逐月收入 / MRR / 订阅数 / 是否挂牌出售全部查不到。
• appstore、googleplay、macappstore、chromestore:四个库均无记录(产品无移动端/扩展,属预期)。
• GitHub:只有 HacktronAI/skills 一个库进库(≥50 星门槛),其余 8 个仓库不在库里;gain_7d / gain_30d 为 NULL,无法给星数走势。
• X:本地库仅 1 条非产品性提及;创始人不在圈子名单,无法看其社交发言。
• 答不了的:2026-05 之后的实际收入、付费客户数、是否有新一轮融资、Automations 功能本身的采用率。PH 页面被 Cloudflare 拦截,评论正文没抓到。