Solo para uso autorizado. Usa RedAI en software y entornos que poseas o estés autorizado a evaluar. La salida del agente puede ser incompleta o incorrecta: revisa los hallazgos y la evidencia antes de actuar sobre ellos.

Pruébalo en 60 segundos

El repositorio incluye dos aplicaciones de demostración intencionalmente vulnerables para que puedas ver RedAI de principio a fin sin apuntarlo a tu propio código: examples/webapp para el entorno de Navegador y examples/iosapp para el entorno de Simulador de iOS.

En RedAI, crea un entorno de Navegador apuntado a http://localhost:3000, inicia sesión una vez con exampleuser / examplepassword, márcalo como listo, luego inicia un escaneo contra examples/webapp. Observa cómo los validadores conducen Chrome para confirmar hallazgos reales.

El informe completo de un escaneo real de esta aplicación se encuentra en examples/webapp/example-report.md — GitHub lo renderiza en línea para que puedas ver lo que produce RedAI sin ejecutarlo.

Instalación

Desde npm:

O desde un checkout local:

Requisitos

RedAI lee .env del directorio de trabajo cuando se necesitan credenciales; las variables de entorno del shell existentes tienen prioridad.

Solo se requiere una clave de escáner: configura la que coincida con el escáner que planeas usar.

Escanea tu propio código

Un escaneo necesita dos cosas: un directorio de origen y un entorno de validación listo — cualquier objetivo en vivo con el que interactuarán los agentes validador (uno de los entornos incluidos o uno que hayas agregado).

1. En RedAI, crea un entorno que coincida con tu objetivo y completa su configuración — inicia sesión, navega al estado inicial correcto, instala la aplicación, lo que sea que requiera el entorno. Márcalo como ready.
2. Crea un escaneo, elige tu directorio de origen y el entorno listo, selecciona un agente escáner (Claude Code o Codex), e inícialo.

Los agentes escáner clasifican y sondean el origen; los agentes validador toman hallazgos que parecen confirmados y los ejecutan contra el entorno en vivo. El informe se escribe en ~/.redai/runs/<runId>/report.md (y .html) cuando el escaneo finaliza.

Consulta src/tui/README.md para accesos directos del teclado.

Cómo funciona la validación en vivo

Cada escaneo avanza por tres fases:

1. Descubrimiento. RedAI modela las amenazas del proyecto, prioriza archivos por posible relevancia de seguridad, los divide en unidades de análisis acotadas y ejecuta agentes escáner sobre cada unidad para producir hallazgos candidatos.
2. Validación. Para cada hallazgo candidato, un agente validador planifica una prueba, luego conduce el entorno preparado para ejecutarla — haciendo clic en la interfaz de usuario, enviando solicitudes, escribiendo scripts PoC, capturando capturas de pantalla y registros. Cada hallazgo termina como confirmado, imposible-de-probar o refutado.
3. Informe. Los hallazgos confirmados, la evidencia y los artefactos se escriben en ~/.redai/runs/<runId>/.

Para el pipeline completo de nueve etapas (pre-vuelo, modelo de amenazas, priorización de archivos, unidades de análisis, escaneo de unidades, agregación de hallazgos, plan de validación, ejecución de validación, elaboración de informes), consulta src/pipeline/README.md.

Entornos de validación

Un entorno de validación es todo lo que un agente validador necesita para interactuar con una instancia en ejecución del objetivo. RedAI trata los entornos como complementos: cada uno implementa la pequeña interfaz en src/validators/validator-plugin.ts, maneja su propia configuración/desmontaje y expone las herramientas que el agente debería tener dentro de él.

Los nuevos escaneos solo pueden usar entornos marcados como ready. Una vez que comienza un escaneo, los validadores hacen lo que sea que el plan requiera — conducir la interfaz de usuario, ejecutar comandos de shell, escribir scripts PoC, alojar servidores auxiliares, recolectar registros, guardar capturas de pantalla. Todo termina bajo ~/.redai/runs/<runId>/artifacts/.

Dos entornos vienen incluidos como implementaciones de referencia:

• Navegador — una instancia real de Chrome controlada mediante agent-browser. Consulta src/validators/web-agent-browser/README.md.
• Simulador de iOS — un simulador de plantilla por escaneo controlado mediante xcrun simctl. Consulta src/validators/ios-simulator/README.md.

¿Quieres validar contra una máquina virtual Linux, un emulador de Android, un clúster de staging remoto o algo más exótico? Agrega un complemento — la misma interfaz que los dos incluidos.

Datos y artefactos

RedAI escribe el estado local bajo ~/.redai/ (se puede reemplazar con REDAI_HOME). Estos archivos pueden contener indicaciones derivadas del origen, transcripciones de agentes, informes, evidencia, credenciales, perfiles de navegador y metadatos de simulador.

Para la estructura de directorios, consulta src/pipeline/README.md.

Contribuciones

Los comandos, la organización del código y las convenciones del proyecto se encuentran en AGENTS.md. Para detalles internos del pipeline, consulta src/pipeline/README.md; para agregar un nuevo entorno de validador, consulta src/validators/validator-plugin.ts.

Licencia

MIT — consulta LICENSE.