six2dez/burp-ai-agentإضافة لـ Burp Suite تضيف أدوات MCP مدمجة، تحليل بمساعدة الذكاء الاصطناعي، أدوات تحكم في الخصوصية، مسح سلبي ونشط والمزيد.
# وكيل الذكاء الاصطناعي المخصص
**الجسر بين Burp Suite والذكاء الاصطناعي الحديث.**
> **ملاحظة حول الاسم:** يُنشر هذا الامتداد باسم **Custom AI Agent** (سابقًا *Burp AI Agent*). أُعيدت تسميته للامتثال لمتطلبات التسمية في متجر BApp Store الخاص بـ PortSwigger ولتجنّب الالتباس مع مزوّد **Burp AI** المدمج في Burp Suite. يحتفظ مستودع GitHub (`github.com/six2dez/burp-ai-agent`)، وموقع التوثيق (`burp-ai-agent.six2dez.com`)، ودليل الإعدادات (`~/.burp-ai-agent/`) بمعرّف `burp-ai-agent` للاستمرارية.
<!-- screenshot: main extension tab with chat and settings visible -->
Custom AI Agent هو امتداد لـ Burp Suite يدمج الذكاء الاصطناعي في سير عمل الأمان لديك. استخدم النماذج المحلية أو مزوّدي الخدمات السحابية، واربط وكلاء الذكاء الاصطناعي الخارجيين عبر MCP، ودع الماسحات السلبية/النشطة تكتشف الثغرات بينما تركّز أنت على الاختبار اليدوي.
> [!IMPORTANT]
> **إذا كنت تشغّل الإصدار 1.0.0 أو أقدم، فاقرأ [التنبيهات الأمنية](https://github.com/six2dez/burp-ai-agent/blob/main/SECURITY.md#security-advisories) وقم بالترقية إلى أحدث إصدار، 1.1.0.**
> قد تحتوي ملفات التدقيق المكتوبة مع تفعيل تسجيل التدقيق على رمز MCP والمطالبات الكاملة، كما أن سياق
> "الإرسال إلى الذكاء الاصطناعي" عبر النقر بزر الفأرة الأيمن قد يتجاوز وضع الخصوصية؛ ويوضّح كلا التنبيهين أي بيانات اعتماد يجب تدويرها.
> لم يصدر أي معرّف CVE أو GHSA لأيٍّ منها.
## الجديد في الإصدار v1.1.0
إصداران من مستودع واحد، أُعدّا لإعادة تقديم BApp Store. التفاصيل الكاملة في
[CHANGELOG.md](https://github.com/six2dez/burp-ai-agent/blob/main/CHANGELOG.md).
- **إصداران.** يحتوي إصدار BApp Store (`./gradlew bappJar`) على أدوات MCP الثماني الأصلية للامتداد،
وBurp AI والخلفيات الستّ لـ HTTP. ويحتوي إصدار GitHub الكامل (`./gradlew fullJar`) على جميع أدوات MCP الـ 59،
والخلفيات الخمس لـ CLI، وعميل MCP الخارجي، وقائمة الانتظار التلقائية الاختيارية. كلاهما متاح على
[Releases](https://github.com/six2dez/burp-ai-agent/releases)، مع ملف `.sha256` لكلٍّ منهما. حمّل واحدًا فقط
في كل مرة؛ وتقارن صفحة [Which Build?](https://burp-ai-agent.six2dez.com/getting-started/which-build)
بينهما.
- **بوابة الذكاء الاصطناعي في إصدار BApp Store.** يعمل إصدار BApp Store على Burp Community وBurp Professional؛ ولا يرسل طلبات الذكاء الاصطناعي إلا عندما يكون إعداد "Use AI" في Burp مفعّلًا للامتداد، وعند إيقافه يُحمَّل الامتداد ويرفض كل طلب ذكاء اصطناعي.
- **المسحات السلبية لا ترسل شيئًا إلى الهدف.** تُدرَج النتائج السلبية التي يمكن لماسح الذكاء الاصطناعي النشط اختبارها
كأهداف مقترحة في مربع حوار قائمة الانتظار الخاص به، في كلا الإصدارين، وتضيفها إلى قائمة الانتظار يدويًا:
لا يُرسَل شيء إلى هدف قبل أن تؤكّد.
- **إلغاء تحميل نظيف.** لا يترك إلغاء التحميل أي خيط أو مؤقّت أو مستمع MCP تابع للامتداد قيد التشغيل،
ولا يبدأ أي طلب جديد إلى مزوّد ذكاء اصطناعي.
- **تفاصيل المشكلات مُرمَّزة بـ HTML.** تظهر الحمولات والقيم المأخوذة من الهدف ونص الذكاء الاصطناعي
كنص حرفي في عرض المشكلات والتقارير في Burp.
- **تبدأ ماسحات الذكاء الاصطناعي متوقفة عند كل تحميل**، في كلا الإصدارين؛ ويستمر تفعيل أيٍّ منها حتى
يُلغي Burp تحميل الامتداد.
## الجديد في الإصدار v1.0.1
إصلاح عاجل للصحة والخصوصية للإصدار 1.0.0. التفاصيل الكاملة في [CHANGELOG.md](https://github.com/six2dez/burp-ai-agent/blob/main/CHANGELOG.md) و
[SECURITY.md](https://github.com/six2dez/burp-ai-agent/blob/main/SECURITY.md#fixed-in-101).
- **تعمل المطالبات غير التابعة لـ ASCII على كل خلفية HTTP** (#84، #85، #86، #88). تُرسَل أجسام الطلبات
كبايتات UTF-8؛ فسابقًا كانت الأحرف غير التابعة لـ ASCII تتلف، وكان نص الهدف قد يغيّر بنية JSON
للطلب.
- **الخصوصية:** أصبح سياق النقر بزر الفأرة الأيمن، وإعدادات الماسح، وتسجيل التدقيق، وروابط الدردشة تحترم
وضع الخصوصية والافتراضي الخاص بتدقيق التجزئات فقط؛ ولا تُفتح روابط الدردشة إلا بعد تأكيد.
- **أمان الماسح:** لا تُعاد الطلبات المُغيِّرة للحالة إلا عند DANGEROUS؛ وتحترم فحوصات Burp Scanner AI
مجموعة موارد الفحص ومفتاح الذكاء الاصطناعي السلبي.
- **الموثوقية:** يعمل NVIDIA NIM وPerplexity مجددًا، وتحتفظ رسائل الدردشة اللاحقة بسياقها،
ولم يعد التنقيح يُسقط المحتوى على الأجهزة البطيئة أو المشغولة.
- **المكتبات المضمّنة:** Netty 4.1.138، Jackson 2.22.3.
## الجديد في الإصدار v1.0.0
أول إصدار مستقر، ومعلَم بارز في صحة الأمان. أكّدت مراجعة خارجية لـ `0.9.2` في
2026-08-05 وجود عيبين قابلين للاستغلال من خلال **تشغيل** الشيفرة المُصدَّرة؛ ويُصلح هذا الإصدار
كليهما إضافةً إلى الفئة الأوسع من المشكلات التي كشفت عنها المراجعة نفسها. التفاصيل الكاملة في [CHANGELOG.md](https://github.com/six2dez/burp-ai-agent/blob/main/CHANGELOG.md).
**تم إصلاحه، والإفصاح عنه:**
- **SEC-04 (حرج)** — لم تكن فحوص التحكم في الوصول الخاصة بـ MCP تُنفَّذ على المسارات المُحلَّلة. مع تفعيل
الوصول الخارجي كان المستمع يقبل استدعاءات أدوات **غير مُصادَق عليها**؛ وفي الوضع المحلي كانت فحوص
Origin/Host/User-Agent ورؤوس استجابة الأمان خاملة على المسارات المطابقة. أصبح القرار الآن
يُنفَّذ قبل التوجيه. → [قم بتدوير رمز MCP الخاص بك](https://github.com/six2dez/burp-ai-agent/blob/main/SECURITY.md#security-advisories)
- **PRIV-05 (عالٍ)** — وصلت ملفات تعريف ارتباط الجلسة إلى الواجهات الخلفية للذكاء الاصطناعي **دون تنقيح في وضعي STRICT وBALANCED**. كان
الماسح السلبي يُصدر ملفات تعريف الارتباط بصيغة `name=value` المجرّدة، مُسقِطًا بادئة التنقيح التي يعتمد عليها،
ولم يُلتقط سوى ملف تعريف ارتباط يحمل حرفيًا اسم `session`. → [قم بتدوير ملفات تعريف الارتباط المتأثرة](https://github.com/six2dez/burp-ai-agent/blob/main/SECURITY.md#security-advisories)
**تم تقويته:**
- **استدعاءات الأدوات الصادرة من النموذج تحتاج الآن إلى موافقتك** (SEC-06) — استدعاء أداة يُستخرج من *مخرجات
النموذج* لا يصل إلى Burp حتى تقرر أنت. تفشل المستويات بشكل مغلق: اسم أداة غير معروف يُطلب تأكيده
في كل مرة، ولا يُنفَّذ بصمت أبدًا. راجع [ملاحظات الخصوصية والأمان](#privacy-and-security-notes).
- **لم يعد رمز MCP يُفصح عنه أثناء الاستيلاء على المنفذ** (SEC-07) — كانت عملية محلية تحتلّ
منفذ MCP وتُعيد رأس الهوية قادرة سابقًا على حصاد رمز يمنح وصولًا كاملًا لأدوات MCP. أصبح عميل
الاستيلاء الآن يقدّم إثبات حيازة HMAC بدلًا من ذلك، وتحت TLS يثبّت شهادة الخادم على مخزن مفاتيحه الخاص.
- **`SsrfGuard` يصنّف صيغ IP البديلة** (SEC-07) — لم يعد `http://2852039166/` (التمثيل العشري لـ
`169.254.169.254`) يتجاوز تحذير العنوان الخاص/الرابط المحلي بالاعتماد على الصيغة وحدها،
ولم يعد التصنيف يُجري أي تحليل أسماء على الإطلاق.
- **وسائط الصدفة تُقتبَس وفق قائمة سماح** (QUAL-06) — إغلاق مسار من استيراد الإعدادات إلى تنفيذ الأوامر
للقيم التي تحمل محارف وصفية دون مسافات (`foo;id`، `$(cmd)`).
- **حصر EDT ومتانة المجدول** — نُقل تنفيذ الأدوات وHTTP الخلفي و`stop()` الخاص بـ MCP
خارج خيط إرسال أحداث Swing؛ وحُصّنت المهام المتكررة ضد الموت بسبب الاستثناءات.
**تم التحقق:** نمت مجموعة الاختبارات من 660 إلى **1131 اختبارًا عبر 158 صنفًا**، وتغطية أسطر المشروع
من 34% → **58%**، وتقلّص خط أساس detekt من 1096 إلى 1040 بدلًا من أن ينمو.
## أبرز الميزات
- **12 خلفية ذكاء اصطناعي** — Burp AI (مدمجة)، Anthropic، Ollama، LM Studio، NVIDIA NIM، Perplexity، متوافقة مع OpenAI بشكل عام، Gemini CLI، Claude CLI، Codex CLI، OpenCode CLI، Copilot CLI. يحتوي إصدار BApp Store على 7 (Burp AI والخلفيات الستة عبر HTTP)؛ أما الخلفيات الخمس عبر CLI فهي في الإصدار الكامل فقط.
- **59 أداة MCP** — دع Claude Desktop (أو أي عميل MCP) يقود Burp بشكل مستقل (8 أدوات ذكاء اصطناعي أصلية في الإضافة في إصدار المتجر، وجميع الـ 59 في الإصدار الكامل).
- **وصول MCP محدود النطاق** — اختياريًا، احصر كل أداة MCP في المضيفين ضمن نطاقك، حتى لا تتمكن عملاء الذكاء الاصطناعي الخارجية من الوصول إلى أهداف خارج النطاق عبر Burp.
- **62 فئة ثغرات** — ماسحات ذكاء اصطناعي سلبية ونشطة تغطي الحقن والمصادقة والتشفير وغيرها. يعمل الماسح السلبي كـ `PassiveScanCheck` في Burp (Burp Pro).
- **التثبيت من الإصدارات** — نزّل أيًا من الإصدارين من [Releases](https://github.com/six2dez/burp-ai-agent/releases)؛ يشرح [Which Build?](https://burp-ai-agent.six2dez.com/getting-started/which-build) كيف يختلفان. لم يُدرج Custom AI Agent في BApp Store بعد: إصدار BApp Store قيد مراجعة PortSwigger في [extension-portal#231](https://github.com/PortSwigger/extension-portal/issues/231).
- **واجهة متوافقة مع السمة** — نظام تصميم داخلي ينسّق لوحة الإعدادات ويعيد تطبيق السمات تلقائيًا مع مفتاح التبديل بين الفاتح/الداكن في Burp.
- **مهارة Burp Scan** — استخدم مساعد البرمجة بالذكاء الاصطناعي المفضل لديك (Claude Code، Gemini CLI، Codex، إلخ) كماسح عبر MCP.
- **تأكيد استدعاء الأدوات** — استدعاءات الأدوات التي يصدرها الذكاء الاصطناعي مُقيَّدة: الأدوات المحدودة للقراءة فقط تعمل بصمت، وكل ما عداها يسأل أولًا عبر بطاقة موافقة في الدردشة. الأدوات غير المعروفة تفشل بشكل مغلق.
- **3 أوضاع خصوصية** — STRICT / BALANCED / OFF. احجب البيانات الحساسة قبل مغادرتها Burp.
- **مكتبة أوامر مخصصة** — احفظ أوامر حرة لكل سياق (طلب HTTP أو مشكلة ماسح)؛ شغّلها من قائمة النقر بزر الماوس الأيمن أو اكتب أوامر مخصصة عبر `Custom…`.
- **تسجيل التدقيق** — سجل JSONL اختياري مع SHA-256 لكل سجل؛ تُسجَّل الأوامر والسياق والاستجابات كـ SHA-256 مع الطول ما لم يكن تدقيق Verbose مفعّلًا، ولا تُكتب بيانات الاعتماد أبدًا؛ كل تشغيل يُوسم بـ `promptSource` / `contextKind` لضمان قابلية إعادة الإنتاج.
## البدء السريع
### 1. التثبيت
نزّل أحدث JAR من [Releases](https://github.com/six2dez/burp-ai-agent/releases): يحمل كل إصدار `Custom-AI-Agent-full-<version>.jar` (إصدار GitHub الكامل) و`Custom-AI-Agent-bapp-<version>.jar` (إصدار BApp Store)، كل منهما مع `.sha256`. يشرح [Which Build?](https://burp-ai-agent.six2dez.com/getting-started/which-build) أيّهما تختار. أو ابنِ من المصدر (Java 21):
```bash
git clone https://github.com/six2dez/burp-ai-agent.git
cd burp-ai-agent
# Full build (GitHub releases) — all 59 MCP tools
JAVA_HOME=/path/to/jdk-21 ./gradlew clean fullJar
# Output: build/libs/Custom-AI-Agent-full-<version>.jar
# Store build (BApp Store submission) — 8 extension-native AI MCP tools only
JAVA_HOME=/path/to/jdk-21 ./gradlew clean bappJar
# Output: build/libs/custom-ai-agent-bapp.jar
```
### 2. التحميل في Burp
1. افتح Burp Suite (Community أو Professional).
2. انتقل إلى **Extensions > Installed > Add**.
3. اختر **Java** كنوع الإضافة واختر ملف `.jar`.
تُسجّل الإضافة في Burp باسم **Custom AI Agent** (الاسم في قائمة Extensions وتبويب Suite) لتمييزها عن مزوّد **Burp AI** المدمج في Burp.
**حمّل نسخة بناء واحدة فقط.** تُسجّل كلٌّ من نسخة البناء الكاملة ونسخة BApp Store باسم **Custom AI Agent**، لذا تبدوان متطابقتين في قائمة Extensions في Burp. تحميل كلتيهما في آنٍ واحد يمنحك تبويبَي Custom AI Agent، وخادمَي MCP يتنافسان على المنفذ نفسه، ونسختين تكتبان في الدليل المشترك `~/.burp-ai-agent`. أزل تحميل إحداهما قبل تحميل الأخرى.
**إصدار Burp وإعداد "Use AI".** تعمل نسخة BApp Store على Burp Community وBurp Professional؛ وهي ترسل طلبات الذكاء الاصطناعي فقط عندما يكون إعداد "Use AI" في Burp مفعّلًا للإضافة، وعند إيقافه تُحمَّل وترفض كل طلب ذكاء اصطناعي. توثّق PortSwigger إعداد "Use AI" كمربع اختيار لكل إضافة، معطّل افتراضيًا: **Extensions > Installed > Custom AI Agent > Use AI**.
<!-- screenshot: Burp Extensions > Add dialog with the JAR loaded -->
### 3. ملفات تعريف الوكيل
تثبّت الإضافة تلقائيًا ملفات التعريف المرفقة في `~/.burp-ai-agent/AGENTS/` عند التشغيل الأول.
أضف ملفات `*.md` إضافية في ذلك الدليل لإضافة ملفات تعريف مخصّصة.
### 4. إعداد الواجهة الخلفية
افتح تبويب **AI Agent** وانتقل إلى **Settings**. اختر واجهة خلفية:
| الواجهة الخلفية | النوع | الإعداد |
| :--- | :--- | :--- |
| **Burp AI (built-in)** | داخل العملية | يستخدم الذكاء الاصطناعي المدمج في Burp ويحتاج إلى تفعيل إعداد "Use AI" في Burp للإضافة (انظر [Requirements](#requirements))؛ لا يتطلب إعدادًا إضافيًا. |
| **Ollama** | HTTP محلي | ثبّت [Ollama](https://ollama.com)، وشغّل `ollama serve`، واسحب نموذجًا (`ollama pull llama3.1`). |
| **LM Studio** | HTTP محلي | ثبّت [LM Studio](https://lmstudio.ai)، وحمّل نموذجًا، وابدأ الخادم. |
| **NVIDIA NIM** | HTTP | استخدم نقطة النهاية الافتراضية `https://integrate.api.nvidia.com`، وعيّن مفتاح NVIDIA API الخاص بك، واختر نموذجًا مثل `moonshotai/kimi-k2.5`. |
| **Perplexity** | HTTP | استخدم نقطة النهاية الافتراضية `https://api.perplexity.ai`، وعيّن مفتاح `pplx-...` API الخاص بك، واختر نموذجًا مثل `sonar` أو `sonar-pro` أو `sonar-reasoning`. |
| **Generic OpenAI-compatible** | HTTP | قدّم عنوان URL أساسيًا ونموذجًا لأي مزوّد متوافق مع OpenAI. |
| **Gemini CLI** | Cloud CLI (نسخة البناء الكاملة فقط) | ثبّت `gemini`، وشغّل `gemini auth login`. |
| **Claude CLI** | Cloud CLI (نسخة البناء الكاملة فقط) | ثبّت `claude`، وعيّن `ANTHROPIC_API_KEY` أو شغّل `claude login`. |
| **Codex CLI** | Cloud CLI (نسخة البناء الكاملة فقط) | ثبّت `codex`، وعيّن `OPENAI_API_KEY`. |
| **OpenCode CLI** | Cloud CLI (نسخة البناء الكاملة فقط) | ثبّت `opencode`، واضبط بيانات اعتماد المزوّد. |
| **Copilot CLI** | Cloud CLI (نسخة البناء الكاملة فقط) | ثبّت `copilot` وسجّل الدخول بحساب GitHub الخاص بك. |
| **Anthropic** | Cloud API | أدخل مفتاح Anthropic API الخاص بك في Settings. يمرّ حركة مرور API عبر وكيل Burp. انظر [docs/anthropic-backend.md](https://github.com/six2dez/burp-ai-agent/blob/main/docs/anthropic-backend.md). |
بالنسبة إلى **NVIDIA NIM**، تتوقع الواجهة الخلفية نفس نمط تدفق chat-completions الذي تتبعه نقطة النهاية المستضافة من NVIDIA. الإعداد العامل هو:
```text
Backend: NVIDIA NIM
Base URL: https://integrate.api.nvidia.com
Model: moonshotai/kimi-k2.5
API Key: <your nvapi token>
```
اترك الرؤوس الإضافية فارغة ما لم تكن بوابتك تتطلبها. ترسل الإضافة الطلبات إلى `/v1/chat/completions` وتستخدم رمز bearer المكوَّن تلقائيًا.
### 5. شغّل تحليلك الأول
1. تصفّح هدفًا عبر Burp Proxy.
2. انقر بزر الفأرة الأيمن على أي طلب في **Proxy > HTTP History**.
3. اختر **Extensions > Custom AI Agent > Analyze this request**.
4. تُفتح جلسة محادثة مع تحليل الذكاء الاصطناعي.
<!-- screenshot: right-click context menu showing Custom AI Agent actions -->
### 6. اربط Claude Desktop عبر MCP (اختياري)
فعّل خادم MCP في **Settings > MCP Server** وأضف هذا إلى إعدادات Claude Desktop:
**macOS**: `~/Library/Application Support/Claude/claude_desktop_config.json`
**Windows**: `%APPDATA%\Claude\claude_desktop_config.json`
```json
{
"mcpServers": {
"burp-ai-agent": {
"command": "npx",
"args": [
"-y",
"supergateway",
"--sse",
"http://127.0.0.1:9876/sse"
]
}
}
}
```
> يتطلب Node.js 18+. إذا قمت بتمكين **الوصول الخارجي**، فيجب على عميل MCP إرسال `Authorization: Bearer <token>` مع كل طلب.
**البناء الكامل فقط.** يمكنك أيضًا تسجيل خوادم MCP خارجية أو مخصصة في **الإعدادات > خادم MCP > خوادم MCP الخارجية** (نقل SSE أو stdio). يتم تخزين رموز مصادقة الخوادم الخارجية مشفرة أثناء السكون، مع التحفظ الموضح في [ملاحظات الخصوصية والأمان](#privacy-and-security-notes). راجع [docs/external-mcp-servers.md](https://github.com/six2dez/burp-ai-agent/blob/main/docs/external-mcp-servers.md) للحصول على تفاصيل الإعداد وملاحظات الأمان.
## مهارة Burp Scan (الفحص بالذكاء الاصطناعي عبر الطرفية)
تتيح مهارة `burp-scan` استخدام أي مساعد برمجة بالذكاء الاصطناعي (Claude Code، Gemini CLI، Codex، إلخ) كماسح ضوئي Burp من طرفيتك. فبدلاً من الذكاء الاصطناعي المدمج في الإضافة، **يصبح الذكاء الاصطناعي في طرفيتك هو محرك الاستدلال** بينما يوفر Burp الأدوات عبر MCP.
### ما الذي تحتويه
- مرجع أدوات MCP (حتى جميع الأدوات الـ 59 في البناء الكامل) منظمًا حسب إجراء الفحص
- بروتوكول التحليل السلبي (تحليل حركة المرور دون إرسال طلبات)
- مكتبة حمولات الاختبار النشط (أكثر من 200 حمولة لـ 62 فئة ثغرات مع أنماط الكشف)
- سير عمل الفحص الشامل (النطاق -> السلبي -> النشط -> OOB -> التقرير)
- بروتوكول إنشاء المشكلات مع تعيين الخطورة/الثقة
### التثبيت لـ Claude Code
انسخ المهارة إلى دليل مهارات Claude Code الخاص بك:
```bash
# Global (available in all projects)
cp -r skills/burp-scan ~/.claude/skills/burp-scan
# Or project-specific
cp -r skills/burp-scan .claude/skills/burp-scan
```
ثم استخدم `/burp-scan` في Claude Code أو دعه يُفعَّل تلقائيًا عند ذكر فحص Burp.
### التثبيت لمساعدي الذكاء الاصطناعي الآخرين
المهارة عبارة عن ملف Markdown مستقل في [`skills/burp-scan/SKILL.md`](https://github.com/six2dez/burp-ai-agent/blob/main/skills/burp-scan/SKILL.md). يمكنك استخدامه مع أي مساعد ذكاء اصطناعي يدعم مطالبات النظام أو ملفات السياق:
- **Gemini CLI / Codex / OpenCode**: أضفه كملف سياق أو الصقه في مطالبة النظام لديك
- **عملاء MCP المخصصون**: ضمّن محتوى المهارة كسياق نظام إلى جانب اتصال MCP الخاص بك
- **أي LLM**: الملف مكتفٍ ذاتيًا — قدّمه كسياق إلى جانب تعريفات أدوات MCP الخاصة بك
### مثال على الاستخدام
```
You: Connect to Burp MCP at localhost:9876 and scan the proxy history for IDOR vulnerabilities
AI: [Uses proxy_http_history to pull traffic]
[Identifies endpoints with numeric IDs]
[Sends http1_request with ID+1, ID-1 payloads]
[Compares responses for different user data]
[Creates issue_create for confirmed IDOR]
```
> المهارة والماسح المدمج في الإضافة متكاملان: تشغّل الإضافة الفحص الآلي في الخلفية، بينما تتيح المهارة فحصًا تفاعليًا موجّهًا من المحلل من طرفيتك.
## التوثيق
التوثيق الكامل متاح على **[burp-ai-agent.six2dez.com](https://burp-ai-agent.six2dez.com)**.
- [التثبيت](https://burp-ai-agent.six2dez.com/getting-started/installation)
- [أي إصدار؟](https://burp-ai-agent.six2dez.com/getting-started/which-build)
- [البدء السريع](https://burp-ai-agent.six2dez.com/getting-started/quick-start)
- [جولة في الواجهة](https://burp-ai-agent.six2dez.com/user-guide/ui-tour)
- [ملفات تعريف الوكيل](https://burp-ai-agent.six2dez.com/user-guide/agent-profiles)
- [الماسح السلبي](https://burp-ai-agent.six2dez.com/scanners/passive)
- [الماسح النشط](https://burp-ai-agent.six2dez.com/scanners/active)
- [نظرة عامة على MCP](https://burp-ai-agent.six2dez.com/mcp/overview)
- [أوضاع الخصوصية](https://burp-ai-agent.six2dez.com/privacy/privacy-modes)
- [مرجع الإعدادات](https://burp-ai-agent.six2dez.com/reference/settings-reference)
- [التنبيهات الأمنية](https://burp-ai-agent.six2dez.com/security/advisories)
- [استكشاف الأخطاء وإصلاحها](https://burp-ai-agent.six2dez.com/reference/troubleshooting)
- [مهارة فحص Burp](https://burp-ai-agent.six2dez.com/examples/burp-scan-skill)
## أدلة تشغيل المشغّل
- [تقوية MCP](https://github.com/six2dez/burp-ai-agent/blob/main/docs/mcp-hardening.md)
- [دليل سلامة الواجهة](https://github.com/six2dez/burp-ai-agent/blob/main/docs/ui-safety-guide.md)
- [استكشاف أخطاء الواجهة الخلفية وإصلاحها](https://github.com/six2dez/burp-ai-agent/blob/main/docs/backend-troubleshooting.md)
- [إعداد الواجهة الخلفية Anthropic](https://github.com/six2dez/burp-ai-agent/blob/main/docs/anthropic-backend.md)
- [خوادم MCP الخارجية](https://github.com/six2dez/burp-ai-agent/blob/main/docs/external-mcp-servers.md)
### ملاحظات الخصوصية والأمان
- **الأسرار المخزّنة — ما يفعله التشفير وما لا يفعله.** جميع مفاتيح API والرموز المخزّنة (Anthropic، رمز حامل MCP، كلمة مرور مخزن مفاتيح TLS، إلخ) مشفّرة باستخدام AES-256-GCM بمفتاح رئيسي عشوائي لكل تثبيت (`SecretCipher`). **هذا المفتاح الرئيسي نفسه مخزّن في تفضيلات Burp، بترميز Base64، إلى جانب النص المشفّر الذي يحميه** (التفضيل `secret.master.key.v1`). لذلك فإن أي شخص يستطيع قراءة تفضيلات Burp لديك يستطيع أيضًا قراءة المفتاح وفك تشفير الأسرار. وهو **لا** يحمي من مهاجم محلي أو عملية خبيثة تعمل باسم مستخدمك؛ تعامل معه كتمويه ضد الفحص العابر لملف تفضيلات أو مشروع مُصدَّر. إذا كان لا بد لبيانات اعتماد أن تصمد أمام نموذج التهديد هذا، فاحفظها في مخزن أسرار مخصص وألصقها في كل جلسة.
- **استدعاءات الأدوات الصادرة من النموذج تحتاج إلى موافقتك.** استدعاء أداة يستخرجه الإضافة من *مخرجات النموذج* لا يُنفَّذ ضد Burp حتى تقرر أنت. تحمل كل أداة مستوى أمان إلزاميًا: التشغيل تلقائيًا (قراءة فقط ومخرجات محدودة)، أو التأكيد مع خيار **الموافقة للجلسة**، أو التأكيد في كل استدعاء منفرد. اسم أداة لا يتعرف عليه الكتالوج يُحلّ إلى التأكيد في كل مرة، وليس إلى التشغيل التلقائي أبدًا، والأدوات الخارجية ذات النطاق `ext:` تؤكد دائمًا في كل استدعاء. يظهر القرار كبطاقة مضمّنة في سجل المحادثة بدلًا من مربع حوار منبثق، ويُسجَّل كل قرار — حدث تدقيق إضافة إلى سطر في تبويب Output في Burp، إذ إن تسجيل التدقيق معطّل افتراضيًا. يؤدي الرفض إلى إرجاع نتيجة محايدة "غير مصرّح، لا تُعِد المحاولة" إلى النموذج بدلًا من خطأ. هذا المستوى مستقل عن مفتاح **الوضع غير الآمن**: يتحكم الوضع غير الآمن فيما إذا كان يجوز للأداة أن تعمل *أصلًا*، بينما يتحكم المستوى فيما إذا كان يجوز للنموذج تشغيلها *دون سؤال*. الأساس التصميمي: [`DECISIONS.md`](https://github.com/six2dez/burp-ai-agent/blob/main/DECISIONS.md) ADR-15. دليل تشغيل المشغّل: [docs/ui-safety-guide.md](https://github.com/six2dez/burp-ai-agent/blob/main/docs/ui-safety-guide.md).
- وضع الخصوصية STRICT يُجهّل المضيفين باستخدام HKDF حقيقي (HMAC-SHA256 extract/expand). وضع BALANCED يحجب ملفات تعريف الارتباط والرموز وترويسات المصادقة. وضع OFF يرسل حركة المرور كما هي.
- تُغلَّف مخرجات خادم MCP الخارجي بعلامة حدود الثقة قبل دخولها إلى موجّه الذكاء الاصطناعي، ما يمنع حقن الموجّه من استجابات الخادم غير الموثوقة (الإصدار الكامل فقط).
الإعدادات مُصدَّرة بنسخة مخطط داخليًا (`settings.schema.version`) وتُهاجَر بشكل إضافي عند التحميل لضمان ترقيات آمنة.
## المتطلبات
- **Burp Suite** إصدار Community أو Professional، 2026.2 أو أحدث
- **ميزات الذكاء الاصطناعي في إصدار BApp Store** — يعمل إصدار BApp Store على Burp Community وBurp Professional؛ ولا يرسل طلبات الذكاء الاصطناعي إلا عندما يكون إعداد "Use AI" في Burp مفعّلًا للإضافة، وعند إيقافه يتم تحميلها وترفض كل طلب ذكاء اصطناعي. لا تعتمد الواجهات الخلفية HTTP وCLI في الإصدار الكامل من GitHub على إعداد "Use AI" في Burp (لا يزال Burp AI وأدوات MCP `ai_analyze` و`ai_passive_scan` يعتمدان عليه)؛ راجع [Which Build?](https://burp-ai-agent.six2dez.com/getting-started/which-build).
- **Java 21** (مضمّن مع Burp الحديث لوقت التشغيل؛ مطلوب بشكل منفصل للبناء من المصدر)
- تكوين واجهة خلفية واحدة على الأقل للذكاء الاصطناعي (راجع الجدول أعلاه)
## الترخيص
هذا المشروع مرخّص بموجب [MIT License](https://github.com/six2dez/burp-ai-agent/blob/main/LICENSE).
## إخلاء المسؤولية
استخدام Custom AI Agent لمهاجمة أهداف دون موافقة مسبقة غير قانوني. تقع على عاتق المستخدم مسؤولية الالتزام بجميع القوانين المعمول بها. لا يتحمل المطوّرون أي مسؤولية عن سوء الاستخدام أو الأضرار الناجمة عن هذه الأداة. استخدمها بمسؤولية.
## المساهمة
نرحّب بالمشكلات وطلبات السحب. راجع [CONTRIBUTING.md](https://github.com/six2dez/burp-ai-agent/blob/main/CONTRIBUTING.md) لإعداد التطوير والإرشادات، أو [وثائق المطوّر](https://burp-ai-agent.six2dez.com/developer/architecture) للحصول على تفاصيل البنية.