mulot

Agentischer KI-Web-Pentester, der einen Browser steuert.

Ein Open-Weights-LLM (GLM-5.2, Gemma oder Qwen) steuert ein echtes kopfloses Chromium über ein Burp-artiges Toolkit und bearbeitet ein Ziel so, wie es ein menschlicher Pentester tun würde.

Kein Frontier-Modell, kein Agent, der in einer Kali-VM läuft.

_{Recon → schreibt eigenes JavaScript-Payload → Command Injection → Flag.}

Allein mit diesem Harness lösten Open-Weights-GLM-5.2-Agenten 87% der OverTheWire Natas und 73% der Root-Me Web-Server (vollständige Tabellen unten).

• Echter Browser, nicht nur HTTP echte Login-Abläufe, JS-lastige Apps und DOM-basiertes XSS.
• Burp-förmige Primitiven Traffic-Verlauf, Repeater, Intruder, passiver Scan.
• Kein Frontier-API, kein Agent-in-einer-VM Qwen 3.6 27B ist brauchbar; GLM-5.2 ist der Sweet Spot.

Die Idee

Ein Agent ist nicht nur ein Modell, die Werkzeuge sind oft wichtiger als die Parameteranzahl.

Modelle haben die Sicherheitsliteratur gelesen, Intercepting Proxys, Anfrageverlauf, Sitemaps, Fuzzing an einer Einfügestelle. Burp, ZAP, mitmproxy, Fiddler – deren Vokabular und deren Gesten existieren im Korpus, auf dem das Modell trainiert wurde.

Also formt mulot das Harness, um genau diese Primitiven freizulegen.

Zwei Hälften

mulot teilt sich in zwei: einen Proxy, der jeden Austausch aufzeichnet und wiedergibt, und eine Denkschicht, die den eigenen Code des Agenten innerhalb der Zielseite ausführt.

Die Proxy-Hälfte

• Verkehrs-Tagebuch (History): Jeder HTTP-Austausch landet in einer ständig aktiven SQLite-Datenbank, abfragbar und wiederholbar. Die Aufnahme erfolgt über das CDP-Protokoll des Browsers, sodass HTTPS bereits entschlüsselt gelesen wird – kein Abhörzertifikat, kein echter MITM.

• Anfrage-Editor (Interceptor/Repeater): Eine Anfrage aus einer URL neu aufbauen oder aus einem aufgezeichneten Fluss neu einspeisen, manipulieren und erneut ausgeben, außerhalb der CORS-Regeln des Browsers.

• HTTP-Fuzz (Intruder): Eine markierte Einfügestelle, eine abwechselnd eingesetzte Payload-Menge und Übereinstimmungsbedingungen bezüglich Status, Länge oder Regex.

• Scans (Passiver Scan): Passive und aktive Durchläufe über dasselbe Journal und das Live-DOM.

Die Denkschicht

• In-Seite-JavaScript: Eine JS-Toolbox, die innerhalb der Seite ausgeführt wird, nicht auf dem Host. Der Agent automatisiert von innen, die Maschine, die ihn ausführt, bleibt außer Reichweite. Es injiziert hilfreiche JS-Bibliotheken in den DOM-Kontext und erstellt eigene JavaScript-Tools für Padding-Oracle-Angriffe, zeitbasierte SQLi, Deserialisierung...

• Eingebettete Skills & Wortlisten: Playbooks und Wortlisten, die in die Binärdatei eingebacken sind, werden auf Abruf per Tag bereitgestellt. Skills werden nach dem Fingerprinting des Ziels ausgewählt, Wortlisten, von Natur aus groß, überqueren nie das Kontextfenster – sie werden serverseitig konsumiert oder seitenintern iteriert.

Skills: Eingebettete Playbooks, dynamische Auswahl

Playbooks leben in der Binärdatei (go:embed über assets/skills/) und werden von zwei Werkzeugen bereitgestellt:

• list_skills zählt die verfügbaren Stacks auf (php, python, java, nodejs, ...).
• load_skill gibt den gemeinsamen Workflow ohne Argumente zurück, oder das maßgeschneiderte Playbook eines Stacks, wenn du es benennst (load_skill(["python"])).

Der Ablauf: Das Modell erhält den gemeinsamen Workflow vorab (damit es seine Fähigkeiten kennt, bevor es das Ziel kennt), fingerprintet das Ziel und lädt dann den passenden Stack. Polyglotte Ziele sind in Ordnung; rufe es erneut auf, wenn weitere Stacks auftauchen. Einen Stack hinzufügen bedeutet, ein assets/skills/<name>/-Verzeichnis abzulegen und neu zu kompilieren.

Schnellstart

go build -o mulot ./cmd/mulot        # build the MCP server binary

# local llama.cpp
python3 agent.py  --provider llamacpp --model qwen3.6-mtp --base http://localhost:8080 \
  "pwn this server http://localhost:4280/login.php and output only id and uname -a command"

# zai token
export ZAI_API_KEY=...        
python3 agent.py --provider zai --model glm-5.2 "audit http://localhost:8000"

agent.py ist ein kleines einzeiliges Harness, das mulot über stdio MCP steuert und mit jedem OpenAI-kompatiblen Endpunkt mit Tool-Calling spricht. Voreinstellungen: openrouter, llamacpp, zai. Der Anbieter wird automatisch aus dem API-Key erkannt, der in der Umgebung vorhanden ist.

Umgebungsvariablen:

Ergebnisse

Das Ausführen von Open-Weights-GLM-5.2-Agenten gegen Web-Pentest-Herausforderungen nur mit diesem Harness (max. 120 Schritte) erzielte starke Ergebnisse:

OverTheWire (Natas): 87 % gelöst

Root-Me (Web-Server): 73 % gelöst

Viele Fehlschläge kamen von mulots Sandbox-Tooling, das nicht in reinem In-Page-JavaScript umgeschrieben werden konnte (spezifische Objektserialisierung, Race Conditions gewinnen, einige Krypto-Operationen, Cracking, Brute-Force, Out-of-Band-Kanäle).

Beispiele für Gedankengänge

Verantwortungsvolle Nutzung

mulot ist ein Offensiv-Sicherheitstool nur für autorisierte Tests: Systeme, die dir gehören, Aufträge, für die du eine schriftliche Genehmigung hast, und absichtlich verwundbare Labore wie OverTheWire, Root-Me oder DVWA. Es führt echte Angriffe gegen jedes Ziel durch, auf das du es richtest. Wenn du es also auf ein System richtest, das dir nicht gehört oder für das du nicht ausdrücklich autorisiert bist, es zu testen, ist das wahrscheinlich illegal und kein unterstützter Anwendungsfall. Du bist dafür verantwortlich, im Rahmen der Vorgaben und des Gesetzes zu bleiben. Veröffentlicht unter Apache-2.0, ohne Gewährleistung.