pentest-copilot

Agente de pruebas de penetración impulsado por IA que se conecta a una máquina Kali, ejecuta herramientas de seguridad de forma autónoma, analiza los resultados e itera a través de flujos de trabajo basados en el navegador.

Míralo en YouTube

Historial de Estrellas

Qué Hace

• Ejecución agéntica - la IA ejecuta comandos directamente en la caja de ataque, lee la salida, decide los siguientes pasos y repite el ciclo. Hasta 25 iteraciones por turno, sin necesidad de intervención manual.
• 16 herramientas de agente - bash, scripts de Python, instalación de herramientas, gestión de shells, búsqueda en Google, generación de subagentes, Burp Suite (historial del proxy, Repeater, Intruder, Collaborator) y automatización del navegador.
• Más de 100 capacidades - registro curado de herramientas de seguridad y paquetes de Python en 7 categorías (red, ingeniería inversa, pwn, criptografía, forense, esteganografía, core). Selecciona lo que necesites y el agente instala el resto.
• Integración con Burp Suite - visor del historial del proxy, envío de peticiones a Repeater/Intruder, Collaborator para pruebas fuera de banda. Todo accesible para el agente y a través de la interfaz de usuario.
• Agente de navegador - automatización real del navegador mediante Magnitude. Prueba flujos de inicio de sesión, rellena formularios, interactúa con aplicaciones con mucho JavaScript. Opcionalmente enruta el tráfico a través de Burp. En modo Docker, observa el navegador mediante el stream VNC integrado; en modo desarrollador, el navegador se abre en tu escritorio local.
• Gestión de VPN - sube paquetes .ovpn/.conf con los certificados, claves o credenciales referenciados y conéctate/desconéctate desde el navegador. Se admiten múltiples conexiones simultáneas.
• Paralelismo de subagentes - genera agentes en segundo plano para ejecutar tareas de forma concurrente (por ejemplo, fuerza bruta de directorios + enumeración de subdominios al mismo tiempo).
• Comprobaciones de seguridad - los comandos peligrosos (borrados recursivos, escrituras en dispositivos, fork bombs) requieren aprobación explícita, incluso en modo de ejecución automática.
• Trae tu propio modelo - OpenAI, Anthropic (clave de API u OAuth), Google, Mistral o cualquier endpoint compatible con OpenAI.
• Usa tus suscripciones locales existentes - Pentest Copilot puede usar un Codex CLI autenticado en modo Docker o host, y Claude Code en modo host/desarrollador, como proveedores de inferencia normales mientras conserva su propio bucle de herramientas y consentimiento.

Inicio Rápido

Abre http://localhost:3000, regístrate y comienza una sesión.

run.sh espera a que el frontend, el backend, MongoDB y Redis estén listos antes de informar de éxito. Si el arranque falla, imprime el estado de los contenedores afectados y los logs recientes. Configura y asigna un modelo en Settings -> Models tras el primer arranque.

En Windows, ejecuta Pentest Copilot dentro de WSL2 con la integración WSL de Docker Desktop habilitada. Los hosts de trabajo con PowerShell nativo y SSH de Windows no son compatibles porque los comandos del espacio de trabajo requieren un shell POSIX. Para obtener permisos de archivos y rendimiento fiables, clona el repositorio en el sistema de archivos de WSL, no en /mnt/c.

Inferencia con suscripción de Codex y Claude

Settings -> Models detecta los CLI de Codex y Claude Code autenticados. Autentícate una vez en la máquina que ejecuta el CLI:

Después selecciona Use Codex o Use Claude Code. El CLI oficial se encarga del inicio de sesión, la renovación y la gestión de los derechos de suscripción; Pentest Copilot no copia ni reproduce tokens OAuth. Los transportes de suscripción reciben el mismo historial de conversación y esquemas de funciones que los proveedores de API y devuelven el mismo contrato de llamada a asistente/herramienta, por lo que Pentest Copilot sigue ejecutando herramientas y comprobaciones de consentimiento.

El backend de Docker incluye el CLI de Codex para Linux y monta únicamente el archivo ~/.codex/auth.json basado en archivos del host, siguiendo el flujo documentado de transferencia de inicio de sesión headless/Docker de Codex. Establece CODEX_AUTH_FILE antes de docker compose up si tu archivo de credenciales se encuentra en otro lugar. El CLI puede renovar ese archivo durante su uso normal; nunca lo confirmes ni lo compartas. Las credenciales solo en el Keychain del host y Claude Code siguen estando disponibles únicamente en modo desarrollador/host hasta que se configure un puente de inferencia en el host. El uso de la suscripción de Claude es control local del CLI y debe cumplir con los términos actuales de productos de terceros y suscripciones de Anthropic.

Las familias de modelos de primera clase actuales incluyen GPT-5.6 Sol/Terra/Luna, Claude Fable/Opus/Sonnet 5 y Kimi K3 (API directa de Moonshot u OpenRouter).

Perfiles SSH con ámbito de espacio de trabajo

En modo Docker, Pentest Copilot monta los directorios ~/.ssh y ~/keys del host en modo de solo lectura. Cada espacio de trabajo puede seleccionar un alias Host concreto de ~/.ssh/config en Connection. Cada sesión de ese espacio de trabajo usa el mismo host y carpeta de trabajo sin copiar claves privadas a MongoDB. Establece HOST_SSH_DIR o HOST_SSH_KEYS_DIR antes de iniciar Docker cuando esos directorios se encuentren en otro lugar.

Usa alias con nombre en lugar de entradas solo con comodines:

run.sh se encarga de la generación de archivos de configuración, las compilaciones de Docker y la orquestación de contenedores. Usa ./run.sh start -q para reutilizar el modo de inicio anterior y omitir las preguntas en ejecuciones posteriores.

Para la matriz completa de escenarios de SO, Docker, SSH, VPN, proxy, permisos, recuperación y despliegue, consulta Configuración y Solución de Problemas.

Acceso MCP

Pentest Copilot puede exponer su plano de control local a través de MCP para clientes como Claude Code o Codex. Abre Settings -> MCP Access para copiar el endpoint MCP local y el token bearer.

Trata el token como acceso de administrador local: puede ejecutar comandos en la caja de explotación configurada, operar Burp, la automatización del navegador y los flujos de VPN, leer artefactos, escribir hallazgos y actualizar la configuración local de Pentest Copilot. Las acciones MCP vinculadas a un compromiso se registran en esa sesión para que permanezcan visibles en la interfaz de Pentest Copilot.

Después de copiar el endpoint y el token, puedes hacer una prueba rápida de la conexión MCP:

Requisitos del Sistema

El modo Docker vincula sus puertos de interfaz y servicios a 127.0.0.1 por defecto. No expongas el stack a una LAN o a internet sin TLS, autenticación y una configuración deliberada de proxy inverso. En el modo Kali integrado, mantén los archivos durables del espacio de trabajo bajo /kali-data; los archivos en otras ubicaciones del contenedor Kali se eliminan cuando se recrea el contenedor.

Documentación

La guía de Configuración y Solución de Problemas dentro del repositorio es la fuente autoritativa para la instalación, configuración, recuperación y despliegue. La Wiki contiene referencia adicional de funciones y puede ir por detrás de la versión actual:

• Primeros Pasos - descripción general del proyecto
• Arquitectura - diseño del sistema, bucle del agente, subagentes
• Uso - flujo de trabajo, modelo de consentimiento, interfaz de chat
• Funciones - descripción completa de funciones
• Ajustes - modelos, SSH, VNC, Burp, Magnitude
• Capacidades - registro de herramientas y buckets
• Herramientas del Agente - las 16 herramientas y el comportamiento de consentimiento
• Integración con Burp Suite - configuración y uso
• Agente de Navegador - configuración de Magnitude
• Gestión de VPN - gestión de perfiles
• Comandos Slash - utilidades de sesión
• Registro de Cambios - novedades

Desarrollo Local

Después, en terminales separadas:

Para la configuración de desarrollo y la solución de problemas, consulta la guía de Configuración y Solución de Problemas.

Autores

• Dhruva Goyal - [email protected] | LinkedIn | GitHub | X
• Aditya Peela - [email protected] | LinkedIn | GitHub | X
• Sitaraman Subramanian - [email protected] | LinkedIn | GitHub | X

Citas

Contribuir

Las contribuciones son bienvenidas. Consulta la Guía de Contribución y el Código de Conducta.

Licencia

MIT License

Aviso Legal

Pentest Copilot está destinado únicamente a pruebas de seguridad autorizadas. Ten siempre permiso explícito antes de probar cualquier sistema.