Warum

Coding-Agenten sind zu wirklich nützlichen Testern geworden. Sie haben eine Shell, sie führen dieselben Tools aus wie du, und sie decken viel Boden schnell ab. Richte einen auf ein Ziel aus und er wird Dinge finden.

Dann füllt sich der Kontextfenster, und das Engagement ist weg. Die nächste Sitzung scannt Hosts erneut, die es bereits abgearbeitet hat, testet erneut, was es bereits ausgeschlossen hat, und kann dir nicht sagen, welche Teile des Scopes jemals berührt wurden. Irgendwo im Transkript befindet sich eine bestätigte SQL-Injection, die niemand aufgeschrieben hat.

Red Clippy behebt das, indem es dem Agenten zwei Dinge gibt, die er von sich aus nicht hat.

Einen Ort, um die Arbeit abzulegen. Jedes Asset, jede Beobachtung, jeder Check und jedes Finding landet während des Testens in einer Datenbank, nicht in einem Scrollback-Puffer. Abdeckung wird zu einer Abfrage statt zu einer Erinnerung: welche Assets existieren, welche Checks auf jedem abgearbeitet sind, was bereits gemeldet wurde. Die Sitzung von morgen nimmt genau dort auf, wo die letzte aufgehört hat.

Regeln, nach denen gearbeitet wird. Ein Red-Team-Instructions-Dokument erreicht den Agenten im MCP-Handshake, bevor es irgendetwas tut: verifizieren vor dem Melden, beweisen jede Behauptung, nur den minimalen Zugriff nehmen, der nötig ist, um Auswirkungen zu demonstrieren, Systeme Dritter in Ruhe lassen. Überschreibe es pro Organisation und pro Engagement, weil Hausregeln zwischen Teams und Kunden unterschiedlich sind.

Du bleibst die ganze Zeit im Loop. Alles, was der Agent schreibt, ist eine gewöhnliche Zeile in der Web-UI, die du überprüfen, korrigieren, neu klassifizieren oder verwerfen kannst.

[!CAUTION] Nur autorisierte Tests. Red Clippy ist für Penetrationstester gedacht, die unter einem Engagement arbeiten. Teste nur Systeme, die du besitzt oder für die du eine ausdrückliche schriftliche Genehmigung zur Bewertung hast. Scope-Markierung und die Red Team Instructions existieren, um einen Agenten innerhalb der Regeln des Engagements zu halten, aber sie sind Leitplanken, keine Autorisierung. Ein Agent handelt in deinem Auftrag, und du bleibst verantwortlich für alles, was er tut.

Schnellstart

Lade eine Binärdatei vom neuesten Release herunter und führe sie aus. Sie richtet die Datenbank ein und bedient das Panel auf 127.0.0.1:7337.

Linux

Windows

Entpacke das Archiv, dann aus diesem Ordner:

Öffne http://127.0.0.1:7337 und der Setup-Assistent übernimmt von dort.

Die Datenbank wird in dem Verzeichnis erstellt, in dem du die Binärdatei ausführst. Hochgeladene Beweise werden dort ebenfalls gespeichert, in red-clippy-storage. Beide Pfade können in der Konfigurationsdatei geändert werden, siehe Konfiguration.

Ziehst du es vor, es selbst zu kompilieren? Siehe Aus dem Quellcode bauen.

Wie die Daten organisiert sind

Red Clippy gruppiert Arbeit in Organisationen. Eine Organisation enthält deine Pentests, und jeder Pentest enthält die Assets, Findings und Beweise für dieses Engagement. Wenn du für ein Unternehmen testest, ist eine einzelne Organisation alles, was du brauchst. Wenn du für mehrere Kunden berätst, gib jedem Kunden seine eigene: Eine Organisation sieht nichts, was einer anderen gehört, sodass sich ihre Engagements nie vermischen.

Eine Organisation hat zwei Namen. Der Anzeigename („Acme Corp") ist das, was du im Panel siehst und später ändern kannst. Der Slug (acme) ist eine kurze Kleinbuchstaben-Kennung, die im Beweisordner auf der Festplatte verwendet wird (red-clippy-storage/org_acme/pentest_PT-2026-08-27/), sodass er nach der Festlegung fixiert ist.

Du kannst zu mehreren Organisationen gehören und über das Avatar-Menü zwischen ihnen wechseln. In jeder bist du entweder ein Owner, der Personen hinzufügen und entfernen und die Organisation umbenennen oder löschen kann, oder ein Member, der die Engagements bearbeitet.

Erster Start

Beim ersten Start ist die Datenbank leer, sodass der Browser einen Setup-Assistenten statt eines Anmeldeformulars zeigt. Er fragt nach:

• einem Slug und Anzeigenamen für deine erste Organisation
• einem Benutzernamen und optional einer E-Mail
• einem Passwort (mindestens 8 Zeichen)

Das Konto, das er erstellt, ist der Owner dieser Organisation. Der Assistent erscheint nur, solange die Datenbank keine Benutzer hat; sobald das erste Konto existiert, ist er dauerhaft deaktiviert, sodass er nicht verwendet werden kann, um später zusätzliche Konten zu erstellen.

Nach dem Setup verwalte Organisationen und Teammitglieder in der App unter Avatar-Menü > Organisationen.

Wenn sich niemand anmelden kann, ist die CLI der Weg zurück:

Verwendung

Der vorgesehene Ablauf ist agentengesteuert. Du richtest das Engagement ein und arbeitest dann mit Claude Code durch das Ziel, während es die Aufzeichnung führt.

Du richtest ein:

1. Erstelle einen Pentest. Code, Scope, Daten. Die Methodik-Checkliste wird automatisch befüllt.
2. Definiere den Scope. Füge die Domains, Hosts und IP-Bereiche hinzu, die du autorisiert bist zu testen, und markiere alles, was ausdrücklich außerhalb des Scopes liegt. Du kannst diese selbst eingeben oder die Scope-Liste des Kunden an den Agenten weitergeben und ihn sie für dich eingeben lassen.
3. Verbinde den Agenten über MCP, an dieses Engagement gebunden (siehe unten).

Der Agent arbeitet dann und zeichnet auf, während er vorgeht:

• Führt Recon- und Testtools aus seiner eigenen Shell aus, so wie er es normalerweise tun würde.
• Übergibt rohe Scanner-Ausgaben mit ingest_tool_output oder schreibt Assets und Beobachtungen direkt.
• Befördert echte Scope-Einheiten zu Assets, lässt den Rest als Beobachtungen.
• Markiert Methodik-Checks, während er sie abarbeitet.
• Legt Findings mit CVSS, PoC und angehängten Beweisen ab.

Du beaufsichtigst:

• Beobachte, wie es in Echtzeit im Browser landet.
• Korrigiere alles: Jede Zeile, die der Agent geschrieben hat, ist ein gewöhnlicher Datensatz, den du bearbeiten, neu klassifizieren oder löschen kannst.
• Prüfe die Abdeckungsansicht auf das, was noch unberührt ist.
• Überprüfe auf dem engagementsübergreifenden Dashboard, das jedes Finding in der Organisation zusammen mit dem Pentest zeigt, aus dem es stammt.

Der Agent ist optional. Er arbeitet über dieselbe API wie das Panel, sodass alles, was er aufzeichnet, du auch selbst im Browser eingeben, korrigieren oder löschen kannst. Führe ein Engagement vollständig von Hand, vollständig über den Agenten aus oder wechsle zwischen beiden, während du vorgehst.

Verbinden eines KI-Agenten (MCP)

Dies ist die Hauptart, wie Red Clippy verwendet werden soll.

red-clippy mcp deckt die gesamte Anwendung ab: Scope und Assets, Beobachtungen, Methodik-Abdeckung, Findings, Beweise, den Angriffsgraphen und Tool-Ausgabe-Erfassung. Ein verbundener Agent arbeitet das Engagement ab, statt nur Fragen darüber zu beantworten.

Beim Verbinden übergibt der Server dem Client das Red-Team-Instructions-Dokument, die Betriebsdoktrin für das Verhalten während des Testens, im MCP-Handshake, sodass es im Kontext des Agenten ist, bevor der erste Tool-Aufruf erfolgt. Es wird am spezifischsten zuerst aufgelöst, von einer pro-Engagement-Überschreibung über einen Organisationsstandard bis zum eingebauten Dokument. Bearbeite den Organisationsstandard unter Einstellungen > Red Team Instructions oder lege eine pro-Engagement-Überschreibung von der Einstellungsseite des Pentests fest. get_instructions liest es bei Bedarf erneut.

Einen API-Schlüssel erstellen

Stelle einen unter Einstellungen > API-Schlüssel aus. Der Abschnitt MCP verbinden darunter gibt dir dann bereit-zum-Einfügen-Konfigurationen für jeden Client, mit diesem Schlüssel, der URL dieses Servers und dem Pfad der Binärdatei selbst bereits ausgefüllt. Es gibt nichts, was von Hand ersetzt werden muss.

Um den Schlüssel stattdessen über die CLI zu erstellen und ihn selbst in die Snippets einzufügen:

Claude Code

Der Name nach add ist nur ein Label, das Claude Code anzeigt. Der Befehl nach -- ist das, was tatsächlich gestartet wird, verwende also den vollständigen Pfad der Binärdatei: Claude Code wird red-clippy nicht unbedingt in seinem PATH finden. Wenn du den Befehl aus MCP verbinden im Panel kopierst, ist der richtige Pfad bereits ausgefüllt.

z.ai GLM

z.ai bietet einen Anthropic-kompatiblen Endpunkt, sodass Claude Code Red Clippy mit GLM statt mit einem Anthropic-Modell steuern kann.

Füge dies zu den Einstellungen von Claude Code hinzu: .claude/settings.local.json in deinem Arbeitsordner, um es auf ein Engagement zu beschränken, oder ~/.claude/settings.json, um es überall anzuwenden.

Zwei Dinge zu ersetzen:

• your-z-ai-api-key mit deinem eigenen Schlüssel. Bevorzuge die projektlokale .claude/settings.local.json, die Claude Code aus git heraushält, sodass der Schlüssel nicht committet wird.
• glm-5.3 mit dem Modell, das z.ai derzeit anbietet. Modellnamen ändern sich, überprüfe also z.ais Claude-Code-Anleitung für das aktuelle und setze jeden Eintrag darauf.

Füge dann den MCP-Server genau wie oben hinzu. Red Clippy ist von der Wahl des Modells unbeeinflusst: MCP läuft clientseitig, sodass sich die Tools identisch verhalten, welches Modell auch immer hinter dem Agenten steht.

OpenAI Codex CLI

Gemäß der Codex-CLI-Konfiguration in ~/.codex/config.toml:

Jeder andere MCP-Client

red-clippy mcp ist ein einfacher JSON-RPC-2.0-Studio-Server. Er benötigt zwei Dinge in seiner Umgebung und akzeptiert eine optionale Engagement-Bindung:

--pentest bindet die Sitzung an ein Engagement, sodass der Agent es nicht bei jedem Aufruf benennen muss. Führe einen MCP-Eintrag pro aktivem Engagement aus und wechsle Engagements, indem du Server wechselst.

Sobald verbunden, kannst du einfach fragen: „Füge ein Finding zu PT-2026-Q2-ACME hinzu: reflektiertes XSS in /search, hoher Schweregrad, hier ist der PoC".

[!NOTE] Dein Agent und red-clippy serve laufen auf derselben Maschine, weshalb RED_CLIPPY_URL auf 127.0.0.1 zeigt.

Funktionen

Eine vollständige MCP-Tool-Oberfläche. Nahezu vollständige Parität mit der Web-UI, nicht eine Token-Teilmenge. Ein Agent kann Assets erstellen und scopen, Beobachtungen anhängen, Methodik-Checks markieren, Findings anlegen und aktualisieren, Beweise hochladen, Graph-Kanten bauen und organisationsweit suchen.

Scope, der sauber bleibt. Assets sind die Einheiten, die du tatsächlich testest: Domains, Hosts, URLs, APIs, mobile Pakete, IP-Bereiche. Jedes trägt seine eigene Checkliste, Erreichbarkeitsmarkierung und In/Out-of-Scope-Flag. Recon-Rauschen (entdeckte Pfade, Tech-Fingerabdrücke, Zertifikate, Wayback-URLs) wird an ein Asset als Beobachtung angehängt, statt in die Scope-Liste zu gelangen, und wird nur dann zu einem Asset befördert, wenn es eines rechtfertigt. Ohne diese Trennung würde ein einziger Content-Discovery-Lauf die Asset-Liste unbrauchbar machen.

Findings bis zur Berichterstattung. Schweregrad, CVSS 3.1 mit einem in das Formular eingebauten Rechner, CWE/CVE, PoC, Behebung und Dateibeweise. Ein engagementsübergreifendes Dashboard listet jedes Finding in der Organisation gegen seinen Quell-Pentest auf, was die Ansicht ist, die ein Retest benötigt.

Abdeckung, die du abfragen kannst. 135 eingebaute Checks, die auf OWASP WSTG abgebildet sind, plus Recon-, Netzwerk-, Cloud- und OSINT-Checks. Zusammenfassungen berichten, was pro Asset und pro Engagement getestet wurde, sodass abgearbeitetes Terrain nicht erneut getestet wird.

Betriebsdoktrin. Das Red-Team-Instructions-Dokument, über MCP bereitgestellt und pro-Engagement aufgelöst, dann pro-Organisation, dann eingebauter Standard.

Tool-Ausgabe-Erfassung. Rohe Scanner-Ausgaben werden in einem einzigen Aufruf übermittelt, was die Art ist, wie ein Agent Ergebnisse aus seiner eigenen Shell in die Aufzeichnung bewegt. Parser für nmap, burp, nessus, openvas, masscan, naabu und subfinder, mit automatischer Formaterkennung. Findings, Recon und rohe Ausgaben landen zusammen in einer Transaktion.

Ein Angriffsgraph. Verbinde zwei beliebige Knoten mit einer freiformigen Beziehung und durchquere dann Nachbarn oder berechne kürzeste Angriffspfade zwischen ihnen.

Multi-Tenant. Jeder Datensatz gehört zu einer Organisation. Ein Benutzer kann zu vielen gehören und wechseln, ohne sich abzumelden, sodass Kundendaten getrennt bleiben.

REST-API. Organisationsbezogene Bearer-Schlüssel, dieselbe Oberfläche wie alles oben.

Optional: ein eingebauter Scan-Runner. Eine Annehmlichkeit zum Steuern von subfinder, nmap, masscan und naabu von der Scan-Seite, mit fortsetzbarer pro-Ziel-Abdeckung. Er existiert für die manuelle Bedienung und ist nicht Teil des normalen agentengesteuerten Workflows, bei dem der Agent seine eigene Tooling ausführt und die Ausgabe erfasst.

Die Dokumentation deckt all dies Bildschirm für Bildschirm ab, mit der MCP-Tool-Referenz, der REST-API und dem Datenmodell. Dieses README deckt das Einrichten und Ausführen ab.

Konfiguration

Einstellungen stammen aus einer TOML-Datei. red-clippy serve liest standardmäßig ./red-clippy.toml. Kopiere das Beispiel und bearbeite es:

Jedes Feld kann auch per CLI-Flag oder Umgebungsvariable gesetzt werden. Die Rangfolge ist CLI-Flag > Umgebungsvariable > TOML > eingebauter Standard, pro Feld.

Zwei Einstellungen sind nur dateibasiert:

• frontend_dist überschreibt die gebaute SPA. Release-Binärdateien betten sie ein, sodass dies normalerweise nicht gesetzt ist; zeige auf ein Verzeichnis, um ein gepatchtes Bundle zu bedienen, ohne neu zu kompilieren.
• local_open lässt die Schaltfläche „Im Dateimanager anzeigen" der Dateien-Seite zu xdg-open / open / explorer.exe auf der Maschine, die den Server ausführt, auslagern. Es ist standardmäßig ausgeschaltet. Aktiviere es nur, wenn der Server dein eigener Desktop in einer angemeldeten grafischen Sitzung ist, niemals unter systemd oder beim Fernbedienen.

Ein Schlüssel, den es nicht erkennt, stoppt den Start mit einem Fehler, statt ignoriert zu werden, sodass ein Tippfehler dich nicht stillschweigend auf einem Standard zurücklassen kann.

Die Protokollfilterung verwendet RUST_LOG (Standard info,sqlx=warn).

Führe red-clippy serve --help für die vollständige Liste aus.

[!WARNING] Führe es lokal aus. Red Clippy bindet an 127.0.0.1 und ist dafür gedacht, auf deiner eigenen Maschine zu laufen, neben dem Agenten, der es steuert. Es ist nicht dafür gebaut, einem Netzwerk oder dem Internet ausgesetzt zu werden.

CLI-Referenz

Füge --help zu jedem Unterbefehl hinzu, um seine Flags zu sehen.

Die REST-API lebt unter /api/v1 und authentifiziert mit Authorization: Bearer rcl_<prefix>_<secret>. Schlüssel sind organisationsbezogen, sodass kein Endpunkt eine Organisation in seiner URL benötigt. Die In-App-Hilfe-Seite dokumentiert die Endpunkte.

Aus dem Quellcode bauen

Linux und macOS

make all baut zuerst die Web-UI und kompiliert dann die Binärdatei mit diesem Bundle eingebettet.

[!NOTE] Build-Reihenfolge. Das React-Bundle wird zur Kompilierzeit eingebettet. cargo build --release allein funktioniert, aber wenn die UI nie gebaut wurde, liefert die Binärdatei eine Platzhalterseite (cargo gibt eine Warnung aus). Führe zuerst make frontend aus oder verwende einfach make all.

Windows

Nativ bauen mit rustup, den MSVC-Build-Tools und installiertem Node:

Oder von Linux aus kreuzkompilieren mit der mingw-w64-Toolchain (apt install gcc-mingw-w64-x86-64):

Kopiere diese einzelne .exe auf den Windows-Host und führe sie aus. Nichts anderes zu installieren.

Entwicklung

Debug-Builds lesen frontend/dist zur Laufzeit von der Festplatte, statt es einzubetten, sodass du die UI neu bauen kannst, ohne Rust neu zu kompilieren.

Bevor du einen Pull-Request öffnest, führe aus, was CI ausführt: cargo fmt --all --check, make clippy, make test, make lint und make frontend. make install-hooks verdrahtet die Formatierungs- und Lint-Gates in einen Pre-Commit- Hook. Siehe CONTRIBUTING.md für die ausführlichere Version, einschließlich wie man einen Parser hinzufügt.

Ein Release schneiden

Erhöhe version in Cargo.toml und pushe dann ein passendes Tag:

CI baut eine statische Linux-Binärdatei und eine Windows-Ausführbare und veröffentlicht dann beide als GitHub-Release mit Prüfsummen. Das Tag muss mit der Crate-Version übereinstimmen, sonst schlägt der Build fehl. Zum Proben ohne Veröffentlichung führe den Release-Workflow manuell über den Actions-Tab aus: Er baut und lädt die Archive als Workflow-Artefakte hoch und überspringt den Release-Schritt.

Mitwirken

Fehlerberichte, Parser für neue Tools und MCP-Abdeckung sind willkommen – siehe CONTRIBUTING.md.

Ein Sicherheitsproblem gefunden? Bitte melde es privat über SECURITY.md, statt ein Issue zu eröffnen.

Lizenz

Copyright (C) 2026 Cyber Security & Privacy Foundation

Veröffentlicht unter der GNU General Public License v3.0. Dieses Programm wird mit ABSOLUT OHNE GEWÄHRLEISTUNG geliefert; siehe die Lizenz für Details.