Red Clippy

وكيلك يختبر. وRed Clippy يحتفظ بالسجل.

إدارة اختبار الاختراق مفتوحة المصدر، مصممة لتُشغَّل بواسطة وكيل ذكاء اصطناعي. اربطها بـ Claude Code عبر MCP فتدير المهمة إلى جانبك: النطاق والأصول، ملاحظات الاستطلاع، تغطية المنهجية، والنتائج مع CVSS والأدلة.

صُمم للمختبرين الذين يريدون سرعة الوكيل دون التخلي عن انضباط مهمة حقيقية. لا يتكرر العمل، ولا تتبخر النتائج بين الجلسات، ولا يصل إلى التقرير شيء لم يُثبَت قط.

مهمة في Red Clippy: تقدم التغطية، النتائج حسب الخطورة، المراحل المتبقية، النتائج الأخيرة، والنطاق من خطاب المهمة

التوثيق الكامل: https://cspf-founder.github.io/red-clippy/

لماذا

أصبحت وكلاء البرمجة مختبرين مفيدين حقًا. لديهم صدفة (shell)، ويشغّلون نفس الأدوات التي تشغّلها، ويغطون الأرض بسرعة. وجّه أحدهم نحو هدف وسيجد أشياء.

ثم تمتلئ نافذة السياق، وتضيع المهمة. الجلسة التالية تعيد فحص المضيفين الذين أنهتهم بالفعل، وتعيد اختبار ما استبعدته سابقًا، ولا تستطيع إخبارك بأي أجزاء النطاق لُمست قط. في مكان ما داخل النص المسجل يوجد حقن SQL مؤكد لم يكتبه أحد.

يعالج Red Clippy ذلك بمنح الوكيل شيئين لا يملكهما بمفرده.

مكان لوضع العمل. كل أصل وملاحظة وفحص ونتيجة يُسجَّل في قاعدة بيانات أثناء الاختبار، لا في مخزن تمرير (scrollback buffer). تصبح التغطية استعلامًا بدلًا من ذاكرة: ما الأصول الموجودة، وما الفحوصات المنجزة على كل منها، وما تم الإبلاغ عنه بالفعل. جلسة الغد تستأنف بالضبط من حيث توقفت الأخيرة.

قواعد للعمل بها. يصل مستند تعليمات الفريق الأحمر إلى الوكيل في مصافحة MCP، قبل أن يفعل أي شيء: تحقق قبل الإبلاغ، وأثبت كل ادعاء، واتخذ الحد الأدنى من الوصول اللازم لإثبات التأثير، واترك أنظمة الأطراف الثالثة وشأنها. تجاوزها لكل مؤسسة ولكل مهمة، لأن القواعد الداخلية تختلف بين الفرق والعملاء.

تبقى في الصورة طوال الوقت. كل ما يكتبه الوكيل هو صف عادي في واجهة الويب يمكنك مراجعته أو تصحيحه أو إعادة تصنيفه أو التخلص منه.

[!CAUTION] اختبار مصرح به فقط. Red Clippy مخصص لمختبري الاختراق العاملين ضمن مهمة. اختبر فقط الأنظمة التي تملكها أو لديك إذن كتابي صريح لتقييمها. تحديد النطاق وتعليمات الفريق الأحمر موجودة لـ إبقاء الوكيل داخل قواعد الاشتباك، لكنها حواجز حماية، وليست تفويضًا. الوكيل يتصرف بسلطتك، وأنت تبقى مسؤولًا عن كل ما يفعله.

البدء السريع

نزّل ملفًا تنفيذيًا من أحدث إصدار وشغّله. يقوم بإعداد قاعدة البيانات ويقدّم اللوحة على 127.0.0.1:7337.

Linux

tar xzf red-clippy-*-x86_64-unknown-linux-musl.tar.gz
cd red-clippy-*-x86_64-unknown-linux-musl
./red-clippy serve

Windows

قم بفك ضغط الأرشيف، ثم من ذلك المجلد:

.\red-clippy.exe serve

افتح http://127.0.0.1:7337 وستتولى معالج الإعداد الأمر من هناك.

تُنشأ قاعدة البيانات في الدليل الذي تشغّل فيه الملف التنفيذي. تُخزَّن الأدلة المرفوعة هناك أيضًا، في red-clippy-storage. يمكن تغيير كلا المسارين في ملف الإعدادات، انظر الإعدادات.

هل تفضّل تجميعه بنفسك؟ انظر البناء من المصدر.

كيف تُنظَّم البيانات

تُجمِّع Red Clippy العمل في مؤسسات. تحتوي المؤسسة على اختبارات الاختراق الخاصة بك، ويحتوي كل اختبار اختراق على الأصول والنتائج والأدلة الخاصة بذلك التكليف. إذا كنت تختبر لصالح شركة واحدة، فمؤسسة واحدة هي كل ما تحتاجه. وإذا كنت تعمل استشاريًا لعدة عملاء، فامنح كل عميل مؤسسته الخاصة: فالمؤسسة لا ترى شيئًا يخص مؤسسة أخرى، لذا لا تختلط تكليفاتهم أبدًا.

للمؤسسة اسمان. اسم العرض ("XYZ Example Corp") هو ما تراه في اللوحة ويمكن تغييره لاحقًا. أما المُعرِّف النصي (xyz) فهو معرِّف قصير بأحرف صغيرة يُستخدم في مجلد الأدلة على القرص (red-clippy-storage/org_xyz/pentest_PT-2026-08-27/)، لذا فهو ثابت بمجرد تعيينه.

يمكنك الانتماء إلى عدة مؤسسات والتبديل بينها من قائمة الصورة الرمزية. في كل مؤسسة تكون إما مالكًا، ويمكنه إضافة الأشخاص وإزالتهم وإعادة تسمية المؤسسة أو حذفها، أو عضوًا، يعمل على التكليفات.

التشغيل الأول

عند التشغيل الأول تكون قاعدة البيانات فارغة، لذا يعرض المتصفح معالج إعداد بدلًا من نموذج تسجيل الدخول. يطلب ما يلي:

مُعرِّفًا نصيًا واسم عرض لمؤسستك الأولى
اسم مستخدم، واختياريًا بريدًا إلكترونيًا
كلمة مرور (8 أحرف على الأقل)

الحساب الذي ينشئه هو مالك تلك المؤسسة. لا يظهر المعالج إلا عندما لا تحتوي قاعدة البيانات على مستخدمين؛ وبمجرد وجود الحساب الأول يُعطَّل نهائيًا، لذا لا يمكن استخدامه لإنشاء حسابات إضافية لاحقًا.

بعد الإعداد، أدِر المؤسسات وأعضاء الفريق في التطبيق من خلال قائمة الصورة الرمزية > المؤسسات.

إذا لم يتمكن أحد من تسجيل الدخول، فإن واجهة سطر الأوامر هي طريق العودة:

red-clippy reset-password --username alice --password 'new-one'

الاستخدام

التدفق المقصود مدفوع بالوكيل. تقوم بإعداد المهمة، ثم تعمل عبر الهدف مع Claude Code بينما يحتفظ هو بالسجل.

أنت تقوم بالإعداد:

إنشاء اختبار اختراق. الكود والنطاق والتواريخ. يتم تهيئة قائمة التحقق المنهجية تلقائيًا.
تحديد النطاق. أضف النطاقات والمضيفين ونطاقات IP المصرّح لك باختبارها، وحدّد أي شيء خارج النطاق صراحةً. يمكنك كتابة هذه بنفسك، أو لصق قائمة نطاق العميل للوكيل وتركه يدخلها نيابةً عنك.
توصيل الوكيل عبر MCP، مثبّتًا على هذه المهمة (انظر أدناه).

ثم يعمل الوكيل، ويسجّل أثناء ذلك:

يشغّل أدوات الاستطلاع والاختبار من shell الخاص به، بالطريقة المعتادة.
يسلّم مخرجات الماسح الخام عبر ingest_tool_output، أو يكتب الأصول والملاحظات مباشرةً.
يرقّي وحدات النطاق الحقيقية إلى أصول، ويترك الباقي كملاحظات.
يعلّم فحوصات المنهجية أثناء إنجازها.
يسجّل النتائج مع CVSS وPoC والأدلة المرفقة.

أنت تشرف:

تراقبه يظهر في المتصفح في الوقت الفعلي.
تصحّح أي شيء: كل صف كتبه الوكيل هو سجل عادي يمكنك تعديله أو إعادة تصنيفه أو حذفه.
تتحقق من عرض التغطية لمعرفة ما لم يُمسّ بعد.
تراجع على لوحة المعلومات العابرة للمهام، التي تعرض كل نتيجة في المؤسسة إلى جانب اختبار الاختراق الذي جاءت منه.

الوكيل اختياري. فهو يعمل عبر نفس API التي تعمل بها اللوحة، لذا فإن أي شيء يسجّله يمكنك أيضًا إدخاله أو تصحيحه أو حذفه بنفسك في المتصفح. شغّل مهمة يدويًا بالكامل، أو بالكامل عبر الوكيل، أو بدّل بين الاثنين أثناء العمل.

توصيل وكيل ذكاء اصطناعي (MCP)

هذه هي الطريقة الرئيسية التي صُمم Red Clippy للاستخدام بها.

يغطي red-clippy mcp التطبيق بأكمله: النطاق والأصول، والملاحظات، وتغطية المنهجية، والنتائج، والأدلة، ومخطط الهجوم، و استيعاب مخرجات الأدوات. يعمل الوكيل المتصل على المهمة بدلًا من مجرد الإجابة عن أسئلة حولها.

عند الاتصال، يسلّم الخادم إلى العميل مستند Red Team Instructions، وهو العقيدة التشغيلية لكيفية التصرف أثناء الاختبار، ضمن مصافحة MCP، حتى يكون في سياق الوكيل قبل أول استدعاء أداة. يُحلّ ذلك بالأكثر تحديدًا أولًا، من تجاوز خاص بكل مهمة، إلى افتراضي المؤسسة، إلى المستند المدمج. عدّل افتراضي المؤسسة ضمن Settings > Red Team Instructions، أو عيّن تجاوزًا خاصًا بكل مهمة من صفحة إعدادات اختبار الاختراق. يعيد get_instructions قراءته عند الطلب.

إنشاء مفتاح API

أصدر واحدًا ضمن Settings > API keys. ثم يمنحك قسم Connect MCP أسفله إعدادات جاهزة للصق لكل عميل، مع ذلك المفتاح، وعنوان URL لهذا الخادم، ومسار الملف التنفيذي نفسه مملوءًا مسبقًا. لا يوجد شيء لاستبداله يدويًا.

لإنشاء المفتاح من CLI بدلًا من ذلك، ولصقه في المقتطفات بنفسك:

red-clippy create-api-key --username alice --org xyz --name laptop
# -> rcl_<prefix>_<secret>   (shown once, store it now)

Claude Code

claude mcp add red-clippy \
  --env RED_CLIPPY_URL=http://127.0.0.1:7337 \
  --env RED_CLIPPY_API_KEY=rcl_xxxx_yyyy \
  -- /path/to/red-clippy mcp

red-clippy

الأكثر شعبية