strategic-automation/violinPerfil de pentest agéntico para Hermes: 31 playbooks para reconocimiento autorizado, ataques web/de control de acceso, validación segura de exploits e informes basados en evidencias con compuertas de seguridad.
35 playbooks · 19 referencias · 14 plantillas · guard de ejecución obligatorio · nativo de Hermes
Violin es un perfil de pentest agéntico nativo de Hermes para pruebas de penetración supervisadas y autorizadas — desde el reconocimiento, pasando por la validación segura de exploits, hasta la elaboración de informes. Utiliza los conjuntos de herramientas integrados de Hermes, siete skills enrutadas y el plugin obligatorio violin_guard en la frontera de ejecución contra objetivos. La CLI independiente admite comprobaciones de versión, diagnósticos y recuperación administrativa; los comandos contra objetivos se ejecutan a través del plugin. Violin no añade credenciales específicas del perfil y hereda los backends de proveedor y de herramientas ya configurados en Hermes.
Inicio rápido · Flujo de trabajo · Herramientas del guard · Benchmarks · Página de inicio · Debates · Desarrollo
¿Sigues Violin? Marca el repositorio con una estrella para que siga siendo fácil de encontrar y ayudes a otros ingenieros de seguridad a descubrir el pentesting agéntico supervisado.
Violin aparece en colecciones seleccionadas por la comunidad, entre ellas awesome-ai-security, awesome-hermes-skills, awesome-hermes-agent y awesome-infosec.
Cobertura de terceros: análisis técnico de Starlog y «Violin: Supervised Agentic Penetration Testing Profile for Hermes Agent».
Para una evaluación independiente, utiliza el kit para revisores, que recopila la ruta de benchmarks, los límites conocidos, el contexto de revisión y una comparación factual con diseños de agentes de pentest autónomos.
| Ejecución de objetivos protegida | Las comprobaciones de alcance, fase, PTT, habilidad, hipótesis, historial y sincronización se ejecutan antes de que se inicie un comando de objetivo. |
| Estado de compromiso persistente | Las tareas de PTT, las hipótesis, el historial de comandos, los puntos de control, la evidencia y los informes sobreviven a la compresión del contexto. |
| Hallazgos respaldados por evidencia | Un envío tipado vincula cada hallazgo validado con recibos de ejecución autenticados. |
| Metodología enrutada | Un orquestador de pentesting selecciona playbooks enfocados en web, identidad, API, lógica de negocio, seguridad de LLM y configuraciones incorrectas. |
| Ejecución acotada | Comandos individuales, ráfagas de comandos, procesos en segundo plano, revisión por lotes, comprobaciones de latido y cancelación comparten un único modelo de estado. |
| Versiones verificables | El registro de plugins, los esquemas, las instantáneas de habilidades, los contratos de documentación, el lint, el formateo y la suite de pruebas completa están sujetos a compuertas de versión. |
hermes profile install https://github.com/Strategic-Automation/violin
hermes -p violin plugins disable violin_guard
hermes -p violin plugins enable violin_guard --no-allow-tool-override
hermes -p violin
Las dependencias de guard se declaran en plugins/violin_guard/plugin.yaml. El nombre del plugin, el directorio y la configuración de habilitación usan todos violin_guard, por lo que Hermes puede resolver sus dependencias sin un workaround de directorio. Instalar las dependencias en el .venv de desarrollo no las instala en Hermes. El ciclo de deshabilitar/habilitar anterior fuerza la admisión de dependencias incluso cuando la configuración del perfil ya habilita el plugin. Verifique el registro después de la instalación:
hermes -p violin plugins doctor ~/.hermes/profiles/violin/plugins/violin_guard --ci
hermes -p violin tools list
Plugin Doctor debería reportar 12 herramientas y 5 hooks, y violin_guard debería aparecer
como un toolset habilitado. Reinicia Hermes después de la instalación antes de comenzar un
engagement. Reinstala el perfil para migrar una instalación anterior de violin-guard.
Luego comienza con un objetivo autorizado y deja que Violin recopile el alcance antes de cualquier interacción con el objetivo:
Run an authorized penetration test against example.com.
v2026.9.24)uv para el desarrollo localViolin no selecciona un modelo ni un proveedor. Configúrelos en Hermes. Para un valor predeterminado capaz, use Qwen3.8 27B localmente o DeepSeek V4 Flash a través de un proveedor alojado.
flowchart LR
S[Scope] --> R[Recon]
R --> V[Vulnerability research]
V --> E[Exploit validation]
E --> P[Reporting]
P --> X[Retrospective]
G[Violin Guard] -. validates .-> R
G -. validates .-> V
G -. validates .-> E