infobyte/ai-pentest-agentEigenständiger autonomer KI-Pentest-Agent mit einer Plan→Act→Judge-Schleife, generischen Skills, einer Sperre für destruktive Aktionen und austauschbaren LLM-Anbietern sowie einem verwundbaren API-Ziel für Demos.
Ein kleiner, eigenständiger autonomer Pentest-Agent, plus ein eigens dafür gebautes verwundbares Ziel, gegen das er laufen kann. Gebaut, um end-to-end zu zeigen, wie ein KI-Pentesting-Agent tatsächlich funktioniert — keine Blackbox, nur eine plan→act→judge-Schleife, eine Handvoll generischer Skills, ein Gate, das destruktive Aktionen mit Veto belegt, und eine Provider-Schicht, die zwischen einem öffentlichen Modell und einem lokalen wechselt, ohne irgendetwas anderes anzufassen.
Keine Frameworks, keine Magie. Jedes Stück ist reines Python, das du in ein paar Minuten lesen kannst.
pentest-agent/ — der Agent selbst. Fang hier an; seine README erklärt die Architektur (Orchestrator, Gate, Skills, Judge) im Detail.vulntarget/ — eine kleine, absichtlich verwundbare E-Commerce-API (SQL-Injection, IDOR, JWT alg=none, Preis-Manipulation durch Business-Logik) als Ziel für den Agenten. Der Agent ist nicht fest darauf zugeschnitten — er wurde auch live gegen reale Labs ausgeführt —, aber es ist der schnellste Weg, ihn end-to-end auf deiner eigenen Maschine arbeiten zu sehen.cd vulntarget
python3.13 -m venv .venv && source .venv/bin/activate
pip install -r requirements.txt
python app.py # serves on http://localhost:5000
In einem anderen Terminal:
cd pentest-agent
python3.13 -m venv .venv && source .venv/bin/activate
pip install -r requirements.txt
cp .env.example .env # fill in ANTHROPIC_API_KEY
python main.py --target http://localhost:5000 --model claude
Beobachte im Terminal, wie er Schritt für Schritt nachdenkt, handelt und verifiziert wird.
MIT — siehe LICENSE.
Gabriel Franco