Custom AI Agent

El puente entre Burp Suite y la IA moderna.

Nota sobre el nombre: esta extensión se publica como Custom AI Agent (anteriormente Burp AI Agent). Se renombró para cumplir con los requisitos de nombres de la BApp Store de PortSwigger y para evitar confusiones con el proveedor Burp AI integrado de Burp Suite. El repositorio de GitHub (github.com/six2dez/burp-ai-agent), el sitio de documentación (burp-ai-agent.six2dez.com) y el directorio de configuración (~/.burp-ai-agent/) conservan el identificador burp-ai-agent para mantener la continuidad.

Custom AI Agent es una extensión para Burp Suite que integra IA en tu flujo de trabajo de seguridad. Usa modelos locales o proveedores en la nube, conecta agentes de IA externos mediante MCP y deja que los escáneres pasivos/activos encuentren vulnerabilidades mientras te centras en las pruebas manuales.

Novedades en v0.9.0

• Backend nativo de Anthropic (CAP-01) — API directa de Anthropic Messages mediante el transporte HTTP de Burp; todo el tráfico aparece en el historial del Proxy.
• Secretos en reposo con AES-256-GCM (SEC-01) — todas las claves API y tokens almacenados se cifran con una clave por instalación usando javax.crypto. La clave maestra reside en las Preferencias de Burp junto al texto cifrado, por lo que esto protege contra la inspección casual de un archivo de preferencias, no contra un atacante local — consulta Notas de privacidad y seguridad.
• Anonimización real de hosts con HKDF (PRIV-01) — el modo STRICT ahora usa extract/expand genuinos de HMAC-SHA256 (no SHA-256 con sal) para la anonimización de hosts.
• Redacción del cuerpo de peticiones/respuestas + patrones personalizados (PRIV-02) — el flujo de redacción cubre los campos del cuerpo y los patrones regex configurables por el usuario validados contra ReDoS.
• Alerta de secretos antes del envío (PRIV-03) — advierte antes de que valores de alta entropía salgan de Burp; las acciones de la lista de permitidos se anotan en el registro de auditoría.
• Servidores MCP externos (CAP-02) — conéctate a servidores MCP externos o personalizados (SSE o stdio) para que los agentes de IA puedan llamar a sus herramientas junto con las herramientas integradas de Burp.
• Límites de presupuesto de tokens por sesión (CAP-04) — BudgetGuard limita el gasto del escáner pasivo con estados WARN/CAP/OFF; el escáner pasivo se pausa automáticamente al alcanzar el tope máximo.

Aspectos destacados

• 12 backends de IA — Burp AI (integrado), Anthropic, Ollama, LM Studio, NVIDIA NIM, Perplexity, compatible genérico con OpenAI, Gemini CLI, Claude CLI, Codex CLI, OpenCode CLI, Copilot CLI.
• 59 herramientas MCP — permite que Claude Desktop (o cualquier cliente MCP) controle Burp de forma autónoma (8 herramientas de IA nativas de la extensión en la compilación de la tienda, las 59 en la compilación completa).
• Acceso MCP restringido al alcance — confina opcionalmente cada herramienta MCP a tus hosts dentro del alcance, para que los clientes de IA externos no puedan alcanzar objetivos fuera del alcance a través de Burp.
• 62 clases de vulnerabilidades — escáneres de IA pasivos y activos entre inyección, autenticación, criptografía y más. El escáner pasivo se ejecuta como PassiveScanCheck de Burp (Burp Pro).
• Instalación desde Releases — descarga el JAR desde Releases. No está en la BApp Store: el envío está abierto desde enero de 2026.
• Interfaz sensible al tema — un sistema de diseño interno estiliza el panel de configuración y cambia de tema automáticamente con el interruptor claro/oscuro de Burp.
• Burp Scan Skill — usa tu asistente de codificación con IA preferido (Claude Code, Gemini CLI, Codex, etc.) como escáner a través de MCP.
• 3 modos de privacidad — STRICT / BALANCED / OFF. Redacta datos sensibles antes de que salgan de Burp.
• Biblioteca de prompts personalizados — guarda prompts de forma libre por contexto (petición HTTP o incidencia del escáner); ejecútalos desde el menú contextual o escribe unos ad hoc mediante Custom….
• Registro de auditoría — JSONL con hash de integridad SHA-256 para cumplimiento; cada lanzamiento se etiqueta con promptSource / contextKind para su reproducibilidad.

Inicio rápido

1. Instalación

Descarga el JAR más reciente desde Releases, o compílalo desde el código fuente (Java 21):

git clone https://github.com/six2dez/burp-ai-agent.git
cd burp-ai-agent

# Full build (default, GitHub releases) — all 59 MCP tools
JAVA_HOME=/path/to/jdk-21 ./gradlew clean shadowJar
# Output: build/libs/Custom-AI-Agent-full-<version>.jar

# Store build (BApp Store submission) — 8 extension-native AI MCP tools only
JAVA_HOME=/path/to/jdk-21 ./gradlew clean shadowJar -PstoreBuild=true
# Output: build/libs/Custom-AI-Agent-<version>.jar

2. Cargar en Burp

1. Abre Burp Suite (Community o Professional).
2. Ve a Extensions > Installed > Add.
3. Selecciona Java como tipo de extensión y elige el archivo .jar.

La extensión se registra en Burp como Custom AI Agent (el nombre en la lista de Extensiones y en la pestaña de Suite) para distinguirla del proveedor Burp AI integrado de Burp Suite.

3. Perfiles de agente

La extensión instala automáticamente los perfiles incluidos en ~/.burp-ai-agent/AGENTS/ en la primera ejecución. Coloca archivos *.md adicionales en ese directorio para añadir perfiles personalizados.

4. Configurar un backend

Abre la pestaña AI Agent y ve a Settings. Elige un backend: