Zetsu

نظام RAG شخصي يعمل دون اتصال لمعرفة الأمن الهجومي. قم بتحميل تقاريرك، حلول المختبرات، تقارير مكافآت الثغرات، والمدونات الأمنية، ثم استفسر عنها باللغة الطبيعية أثناء المهام. لا سحابة، لا SaaS، معرفتك تبقى ملكك.

ما يفعله

ZETSU يحول معرفتك المتراكمة إلى مساعد قابل للاستفسار. بدلاً من البحث في ملفات markdown أو تذكر أي تقرير كان يحتوي على أمر certipy، تسأل طبيعياً:

how do i escalate with SeImpersonatePrivilege
what did i do after getting ADFS access
sliver socks5 pivot setup
explain ESC8 vs ESC4

يستعيد من ملاحظاتك الفعلية أولاً، ثم يُنشئ إجابة مستندة إلى ما وثّقته، وليس معرفة إنترنت عامة.

البنية

خط أنابيب التغذية

خط أنابيب الاستعلام

الميزات

• استخراج FARR: في وقت التغذية، تقرأ LLM كل قسم من تقاريرك وتستخرج خطوات الهجوم المنظمة (اكتشاف، إجراء، سبب، نتيجة). ما تسترجعه هو وحدة دلالية، وليس نافذة عشوائية من 800 رمز.
• استرجاع هجين: BM25 لمطابقة الرموز بالضبط (أسماء الأدوات، أرقام CVE، إشارات CLI) + بحث متجه للتشابه الدلالي. دمج RRF يجمع كليهما.
• إعادة ترتيب بواسطة Cross-encoder: يعيد ترتيب الأجزاء المسترجعة حسب الصلة الفعلية قبل إرسالها إلى LLM.
• نمطان للرد: وضع المشغل يقود بالأوامر الدقيقة، وضع المفهوم يقود بالسبب. نفس الاسترجاع، عرض مختلف. التبديل باستخدام Ctrl+M في واجهة TUI.
• خلفيات متعددة لـ LLM: Anthropic، متوافق مع OpenAI (DeepSeek، إلخ)، أو Ollama محلي. خلفيات منفصلة للتغذية والاستعلام.
• أنواع مصادر متعددة: ملفات markdown محلية، روابط مفردة، ويكيات GitHub، خلاصات Atom/RSS.
• سجل محادثة دائم: يُحفظ في ~/.zetsu/history/YYYY-MM-DD.json، يمكن تصفحه بـ /history.
• TUI + Web UI + CLI: استخدم ما يناسب السياق. TUI أثناء المهام، Web UI للدراسة، CLI للنصوص البرمجية.

التثبيت

git clone https://github.com/chaelsoo/zetsu
cd zetsu
pip install -r requirements.txt

قم بإعداد مفتاح API الخاص بك:

cp .env.example .env
# عدل .env وأضف مفتاحك

بداية سريعة

1. أضف تقاريرك

قم بإسقاط ملفات .md في docs/. تصديرات Notion، ملاحظات Obsidian، تصديرات المدونات، أي ملف markdown يصلح.

2. تكوين المصادر في config.toml

[llm]
backend      = "openai"
openai_model = "deepseek-chat"
base_url     = "https://api.deepseek.com/v1"

[[sources]]
type    = "markdown_dir"
path    = "./docs"
name    = "my_writeups"
extract = "farr"
enabled = true

3. التغذية

python zetsu.py ingest

4. استخدامه

python zetsu.py tui       # واجهة طرفية
python zetsu.py web       # متصفح على localhost:8000
python zetsu.py ask "how do i abuse SeImpersonatePrivilege"

مرجع سطر الأوامر

python zetsu.py ingest                 # تغذية المصادر المفعلة
python zetsu.py ingest --force         # مسح وإعادة بناء كل شيء
python zetsu.py ingest --dry-run       # تقدير دون استدعاء LLM
python zetsu.py ingest --all-sources   # تفعيل جميع المصادر بغض النظر عن enabled
python zetsu.py tui                    # واجهة طرفية
python zetsu.py web                    # واجهة ويب
python zetsu.py ask "query"            # استعلام لمرة واحدة
python zetsu.py ask "query" --style concept
python zetsu.py stats                  # إحصائيات مخزن المتجهات

اختصارات لوحة المفاتيح في TUI

أنواع المصادر

أوضاع الاستخراج

• farr: LLM يستخرج خطوات هجوم منفصلة كـ JSON منظم (اكتشاف، إجراء، سبب، نتيجة). الأفضل لتقارير ذات سلاسل هجوم واضحة.
• farr+narrative: نفس farr، بالإضافة إلى ملخص نثري يلتقط منطق المؤلف. الأفضل للمدونات التي تهم فيها عملية التفكير.
• headers: لا LLM، فقط يقسم على العناوين ويحتفظ بالنص الأصلي. الأفضل لمراجع الأوامر وتوثيق الأدوات.

خلفيات LLM

قم بالتكوين في config.toml. خلفيات منفصلة للتغذية (استخراج جماعي) والاستعلامات (توليد):

[llm]                          # وقت الاستعلام
backend      = "openai"
openai_model = "deepseek-chat"
base_url     = "https://api.deepseek.com/v1"

[ingest]                       # وقت التغذية
backend      = "openai"
openai_model = "deepseek-chat"
base_url     = "https://api.deepseek.com/v1"
workers      = 8               # ملفات متوازية أثناء استخراج FARR

الخلفيات المدعومة: anthropic، openai (أي واجهة برمجة تطبيقات متوافقة مع OpenAI)، ollama.

[!IMPORTANT] يتم تشغيل ChromaDB محليًا بشكل افتراضي، مما يحمل فهرس المتجهات الكامل في الذاكرة. للمجموعات الكبيرة (10,000+ قطعة) أو الأجهزة ذات الذاكرة المحدودة، يُوصى بشدة بتشغيل ChromaDB كخادم بعيد بدلاً من ذلك. راجع وثائق خادم ChromaDB للإعداد. دعم الوضع البعيد في ZETSU مخطط له.

المعيار

تم التقييم عبر 910 سؤالاً تغطي 12 فئة من الأمن الهجومي (ADCS، Kerberos، تعداد AD، MSSQL، Sliver C2، تصعيد الامتيازات، هجمات الويب، بيانات الاعتماد، الحركة الجانبية، السحابة/Entra ID، OPSEC، الأدوات).

أفضل المصادر المساهمة في الإجابات: تقارير HTB الشخصية، مدونة dirkjanm، أبحاث shenaniganslabs، HackTricks ADCS، ويكيبيديا Sliver، ورقة غش netexec.

بكلمات بسيطة، تحتاج إلى التأكد من إضافة موارد جيدة ومنظمة تريد أن يقوم RAG بابتلاعها، هذا المشروع يركز 100% على استخدام قاعدة معرفة، وليس على الثقة في ذاكرة LLM أو المعرفة المدربة.

مجموعة بيانات التقييم الكاملة والنتائج في eval/.

المراجع

• rank-bm25، استرجاع BM25
• مفهوم FARR من CIPHER
• خط أنابيب RAG مستلهم من rag-chatbot

سأقوم بتوثيق الاستخدام ومدى فعاليته في مدونة قريباً جداً، ترقبوا.