I got into YC by hacking it
5 hours ago
- 作者发现Y Combinator的Paxel工具对创始人进行评分，并发现一个漏洞，由于未经验证的HMAC，可以伪造评分。
- 公开披露后，YC的Jared Friedman迅速修复了该问题，并邀请作者参加旧金山的Startup School。
- 该攻击涉及通过自定义工具提升评分，修复前有超过20名用户进入YC前1%排名。
- 漏洞源于缺少加密签名，nonce未与LLM结果绑定，从而能够操纵评分。
- 作者建议加密客户端不可见字段以防止类似问题，尽管这是安全可选措施。
- 作者分享了一个查看原始评分的资源，并希望在Startup School寻找共同创始人。