RedAI

Eine terminalbasierte Arbeitsumgebung für KI-gesteuerte Schwachstellenfindung und Live-Validierung.

Die meisten „KI-Sicherheits“-Tools hören damit auf, Code zu markieren, der verwundbar aussieht. RedAI geht weiter: Nachdem Scanner-Agenten Kandidatenfunde produziert haben, arbeiten Validator-Agenten in einer Live-Umgebung – einer laufenden Instanz des Ziels, plus den Werkzeugen, die sie für die Interaktion benötigen – und versuchen, jeden Fund zu beweisen oder zu widerlegen, bevor er überhaupt im Bericht auftaucht. Sie klicken sich durch die Benutzeroberfläche, rufen Endpunkte auf, schreiben PoC-Skripte, hosten Hilfsserver und speichern die Beweise.

Die Umgebung ist ein Plugin. RedAI wird mit zwei ausgeliefert – einem echten Chrome-Browser und einem iOS-Simulator – und Sie können eigene schreiben (eine Linux-VM, einen Android-Emulator, einen Kubernetes-Cluster, eine eingebettete Geräte-Emulation), indem Sie ein kleines Interface implementieren.

Am Ende eines Durchlaufs erhalten Sie einen detaillierten Bericht (Markdown, HTML und JSON) mit nach Schweregrad geordneten Funden, reproduzierbaren Schritten pro Fund, dem Urteil des Validators (bestätigt, widerlegt oder nicht testbar) und den tatsächlichen Beweisen, die die Agenten gesammelt haben – PoC-Skripte, HTTP-Transkripte, Protokolle und Screenshots –, sodass jeder bestätigte Fund mit Beweisen und nicht nur mit einer Behauptung kommt. Siehe examples/webapp/example-report.md oder examples/iosapp/example-report.md für echte Beispiele.

Nur für autorisierte Nutzung. Verwenden Sie RedAI nur für Software und Umgebungen, die Sie besitzen oder zu deren Bewertung Sie berechtigt sind. Die Ausgabe der Agenten kann unvollständig oder falsch sein – überprüfen Sie Funde und Beweise, bevor Sie darauf handeln.

Ausprobieren in 60 Sekunden

Das Repository enthält zwei absichtlich verwundbare Demo-Apps, damit Sie RedAI von Anfang bis Ende sehen können, ohne es auf Ihren eigenen Code richten zu müssen: examples/webapp für die Browser-Umgebung und examples/iosapp für die iOS-Simulator-Umgebung.

# 1. install RedAI
bun install -g @kpolley/redai

# 2. start the demo target in one terminal
cd examples/webapp && bun run dev      # http://localhost:3000

# 3. start RedAI in another terminal
redai

Erstellen Sie in RedAI eine Browser-Umgebung, die auf http://localhost:3000 zeigt, melden Sie sich einmal mit exampleuser / examplepassword an, markieren Sie sie als bereit, und starten Sie dann einen Scan gegen examples/webapp. Beobachten Sie, wie die Validatoren Chrome steuern, um echte Funde zu bestätigen.

Der vollständige Bericht eines echten Scans dieser App befindet sich unter examples/webapp/example-report.md – GitHub rendert ihn inline, sodass Sie sehen können, was RedAI produziert, ohne es ausführen zu müssen.

Installation

Von npm:

bun install -g @kpolley/redai
redai

Oder aus einem lokalen Checkout:

git clone https://github.com/kpolley/redai.git
cd redai
bun install
bun run redai

Anforderungen

RedAI liest .env aus dem Arbeitsverzeichnis, wenn Anmeldeinformationen benötigt werden; vorhandene Shell-Umgebungsvariablen haben Vorrang.

Es ist nur ein Scanner-Schlüssel erforderlich – setzen Sie den, der dem von Ihnen geplanten Scanner entspricht.

# Claude (pick one)
ANTHROPIC_API_KEY=...
# or Codex
OPENAI_API_KEY=...

Eigenen Code scannen

Ein Scan benötigt zwei Dinge: ein Quellverzeichnis und eine bereite Validierungsumgebung – das Live-Ziel, mit dem die Validierungsagenten interagieren werden (eine der mitgelieferten Umgebungen oder eine, die Sie hinzugefügt haben).

1. Erstellen Sie in RedAI eine Umgebung, die zu Ihrem Ziel passt, und schließen Sie deren Einrichtung ab – melden Sie sich an, navigieren Sie zum richtigen Anfangszustand, installieren Sie die App, was auch immer die Umgebung erfordert. Markieren Sie sie als ready.
2. Erstellen Sie einen Scan, wählen Sie Ihr Quellverzeichnis und die bereite Umgebung, wählen Sie einen Scanner-Agenten (Claude Code oder Codex) und starten Sie ihn.

Scanner-Agenten sichten und untersuchen die Quelle; Validierungsagenten nehmen bestätigt aussehende Funde und führen sie gegen die Live-Umgebung aus. Der Bericht wird nach Abschluss des Scans nach ~/.redai/runs/<runId>/report.md (und .html) geschrieben.

Siehe src/tui/README.md für Tastaturkürzel.

Wie Live-Validierung funktioniert

Jeder Scan durchläuft drei Phasen:

1. Entdecken. RedAI modelliert die Bedrohungen des Projekts, priorisiert Dateien nach wahrscheinlicher Sicherheitsrelevanz, teilt sie in begrenzte Analyseeinheiten auf und führt Scanner-Agenten über jede Einheit aus, um Kandidatenfunde zu erzeugen.
2. Validieren. Für jeden Kandidatenfund plant ein Validierungs-Agent einen Test und steuert dann die vorbereitete Umgebung, um ihn auszuführen – Klicken durch die Benutzeroberfläche, Senden von Anfragen, Schreiben von PoC-Skripten, Erfassen von Screenshots und Protokollen. Jeder Fund endet als confirmed, unable-to-test oder disproved.
3. Berichten. Bestätigte Funde, Beweise und Artefakte werden nach ~/.redai/runs/<runId>/ geschrieben.

Für die vollständige Neun-Stufen-Pipeline (Preflight, Bedrohungsmodell, Dateipriorisierung, Analyseeinheiten, Einheitenscan, Fundaggregation, Validierungsplan, Validierungsausführung, Berichterstellung) siehe src/pipeline/README.md.

Validierungsumgebungen

Eine Validierungsumgebung ist alles, was ein Validierungsagent benötigt, um mit einer laufenden Instanz des Ziels zu interagieren. RedAI behandelt Umgebungen als Plugins: Jede implementiert das kleine Interface in src/validators/validator-plugin.ts, kümmert sich um ihre eigene Einrichtung/Entfernung und stellt die Werkzeuge zur Verfügung, die der Agent in ihr haben soll.

Neue Scans können nur als ready markierte Umgebungen verwenden. Sobald ein Scan startet, tun die Validatoren, was der Plan vorsieht – die Benutzeroberfläche steuern, Shell-Befehle ausführen, PoC-Skripte schreiben, Hilfsserver hosten, Protokolle sammeln, Screenshots speichern. Alles landet unter ~/.redai/runs/<runId>/artifacts/.

Zwei Umgebungen werden im Lieferumfang als Referenzimplementierungen mitgeliefert:

• Browser – eine echte Chrome-Instanz, gesteuert über agent-browser. Siehe src/validators/web-agent-browser/README.md.
• iOS-Simulator – ein pro Scan vorlagenbasierter Simulator, gesteuert über xcrun simctl. Siehe src/validators/ios-simulator/README.md.

Möchten Sie gegen eine Linux-VM, einen Android-Emulator, einen entfernten Staging-Cluster oder etwas Exotischeres validieren? Fügen Sie ein Plugin hinzu – dieselbe Schnittstelle wie die beiden mitgelieferten.

Daten und Artefakte

RedAI schreibt lokalen Zustand unter ~/.redai/ (überschreibbar mit REDAI_HOME). Diese Dateien können quellbasierte Prompts, Agententranskripte, Berichte, Beweise, Anmeldeinformationen, Browserprofile und Simulator-Metadaten enthalten.

Für das Verzeichnislayout siehe src/pipeline/README.md.

Beitragen

Befehle, Code-Organisation und Projektkonventionen finden Sie in AGENTS.md. Für Pipeline-Interna siehe src/pipeline/README.md; zum Hinzufügen einer neuen Validierungsumgebung siehe src/validators/validator-plugin.ts.

Lizenz

MIT – siehe LICENSE.