pentest-copilot

Agent de test d'intrusion piloté par IA qui se connecte à une machine Kali, exécute automatiquement des outils de sécurité, analyse les résultats et itère via des workflows basés sur le navigateur.

Regardez-le sur YouTube

Historique des étoiles

Ce qu'il fait

• Exécution agentique - l'IA exécute des commandes directement sur la machine d'attaque, lit la sortie, décide des étapes suivantes et boucle. Jusqu'à 25 itérations par tour, sans intervention manuelle.
• 16 outils d'agent - bash, scripts Python, installation d'outils, gestion de shell, recherche Google, création de sous-agents, Burp Suite (historique du proxy, Repeater, Intruder, Collaborator) et automatisation du navigateur.
• Plus de 100 capacités - registre organisé d'outils de sécurité et de paquets Python répartis en 7 catégories (réseau, rev, pwn, crypto, forensique, stégo, core). Sélectionnez ce dont vous avez besoin, l'agent installe le reste.
• Intégration Burp Suite - visionneuse de l'historique du proxy, envoi de requêtes vers Repeater/Intruder, Collaborator pour les tests hors bande. Le tout accessible à l'agent et via l'interface.
• Agent navigateur - automatisation d'un vrai navigateur via Magnitude. Testez les flux de connexion, remplissez des formulaires, interagissez avec des applications fortement dépendantes de JavaScript. Possibilité de faire transiter le trafic par Burp. En mode Docker, observez le navigateur via le flux VNC intégré ; en mode développeur, le navigateur s'ouvre sur votre bureau local.
• Gestion VPN - téléchargez des bundles .ovpn/.conf avec les certificats, clés ou identifiants référencés et connectez-vous/déconnectez-vous depuis le navigateur. Connexions simultanées multiples prises en charge.
• Parallélisme des sous-agents - lancez des agents en arrière-plan pour exécuter des tâches simultanément (par exemple, brute-force de répertoires + énumération de sous-domaines en même temps).
• Contrôles de sécurité - les commandes dangereuses (suppressions récursives, écritures sur périphériques, fork bombs) nécessitent une approbation explicite, même en mode exécution automatique.
• Apportez votre propre modèle - OpenAI, Anthropic (clé API ou OAuth), Google, Mistral, ou tout endpoint compatible OpenAI.
• Utilisez vos abonnements locaux existants - Pentest Copilot peut utiliser un CLI Codex authentifié en mode Docker ou hôte, et Claude Code en mode hôte/développeur, comme fournisseurs d'inférence normaux tout en conservant sa propre boucle d'outils et de consentement.

Démarrage rapide

Ouvrez http://localhost:3000, inscrivez-vous et démarrez une session.

run.sh attend que le frontend, le backend, MongoDB et Redis soient prêts avant de signaler le succès. Si le démarrage échoue, il affiche l'état des conteneurs concernés et les journaux récents. Configurez et assignez un modèle sous Settings -> Models après le premier démarrage.

Sous Windows, exécutez Pentest Copilot dans WSL2 avec l'intégration WSL de Docker Desktop activée. Les hôtes de travail PowerShell natif et SSH Windows ne sont pas pris en charge car les commandes de l'espace de travail nécessitent un shell POSIX. Pour des permissions de fichiers et des performances fiables, clonez le dépôt dans le système de fichiers WSL, pas sous /mnt/c.

Inférence via abonnement Codex et Claude

Settings -> Models détecte les CLI Codex et Claude Code authentifiés. Authentifiez-vous une fois sur la machine qui exécute le CLI :

Sélectionnez ensuite Use Codex ou Use Claude Code. Le CLI officiel gère la connexion, le rafraîchissement et la gestion des droits d'abonnement ; Pentest Copilot ne copie ni ne rejoue les jetons OAuth. Les transports d'abonnement reçoivent le même historique de conversation et les mêmes schémas de fonctions que les fournisseurs API et renvoient le même contrat d'appel assistant/outil, de sorte que Pentest Copilot continue d'exécuter les outils et les contrôles de consentement.

Le backend Docker inclut le CLI Codex Linux et monte uniquement le fichier ~/.codex/auth.json de l'hôte, suivant le flux documenté de transfert de connexion headless/Docker de Codex. Définissez CODEX_AUTH_FILE avant docker compose up si votre fichier d'identifiants se trouve ailleurs. Le CLI peut rafraîchir ce fichier pendant son utilisation normale ; ne le commitez ni ne le partagez jamais. Les identifiants uniquement dans le Keychain de l'hôte et Claude Code restent disponibles uniquement en mode développeur/hôte jusqu'à ce qu'un pont d'inférence hôte soit configuré. L'utilisation de l'abonnement Claude relève du contrôle du CLI local et doit être conforme aux conditions actuelles d'Anthropic relatives aux produits tiers et aux abonnements.

Les familles de modèles de premier ordre actuelles incluent GPT-5.6 Sol/Terra/Luna, Claude Fable/Opus/Sonnet 5, et Kimi K3 (API Moonshot directe ou OpenRouter).

Profils SSH limités à l'espace de travail

En mode Docker, Pentest Copilot monte les répertoires ~/.ssh et ~/keys de l'hôte en lecture seule. Chaque espace de travail peut sélectionner un alias Host concret depuis ~/.ssh/config sous Connection. Chaque session de cet espace de travail utilise le même hôte et le même dossier de travail sans copier les clés privées dans MongoDB. Définissez HOST_SSH_DIR ou HOST_SSH_KEYS_DIR avant de démarrer Docker lorsque ces répertoires se trouvent ailleurs.

Utilisez des alias nommés plutôt que des entrées avec uniquement des jokers :

run.sh gère la génération des fichiers de configuration, les builds Docker et l'orchestration des conteneurs. Utilisez ./run.sh start -q pour réutiliser le mode de lancement précédent et ignorer les invites lors des exécutions suivantes.

Pour la matrice complète des scénarios OS, Docker, SSH, VPN, proxy, permissions, récupération et déploiement, consultez Setup and Troubleshooting.

Accès MCP

Pentest Copilot peut exposer son plan de contrôle local via MCP pour des clients tels que Claude Code ou Codex. Ouvrez Settings -> MCP Access pour copier l'endpoint MCP local et le jeton bearer.

Traitez le jeton comme un accès administrateur local : il peut exécuter des commandes sur la machine d'exploitation configurée, opérer Burp, l'automatisation du navigateur et les flux VPN, lire les artefacts, écrire des résultats et mettre à jour la configuration locale de Pentest Copilot. Les actions MCP liées à un engagement sont enregistrées dans cette session afin qu'elles restent visibles dans l'interface de Pentest Copilot.

Après avoir copié l'endpoint et le jeton, vous pouvez tester la connexion MCP :

Configuration système requise

Le mode Docker lie son interface et ses ports de service à 127.0.0.1 par défaut. N'exposez pas la stack à un LAN ou à Internet sans TLS, authentification et une configuration délibérée de reverse-proxy. En mode Kali intégré, conservez les fichiers d'espace de travail durables sous /kali-data ; les fichiers ailleurs dans le conteneur Kali sont supprimés lors de la recréation du conteneur.

Documentation

Le guide Setup and Troubleshooting présent dans le dépôt est la source de référence pour l'installation, la configuration, la récupération et le déploiement. Le Wiki contient une référence de fonctionnalités supplémentaire et peut être en retard sur la version actuelle :

• Getting Started - aperçu du projet
• Architecture - conception du système, boucle d'agent, sous-agents
• Usage - flux de travail, modèle de consentement, interface de chat
• Features - aperçu complet des fonctionnalités
• Settings - modèles, SSH, VNC, Burp, Magnitude
• Capabilities - registre d'outils et catégories
• Agent Tools - les 16 outils et le comportement de consentement
• Burp Suite Integration - configuration et utilisation
• Browser Agent - configuration de Magnitude
• VPN Management - gestion des profils
• Slash Commands - utilitaires de session
• Changelog - nouveautés

Développement local

Puis dans des terminaux séparés :

Pour la configuration de développement et le dépannage, consultez le guide Setup and Troubleshooting.

Auteurs

• Dhruva Goyal - [email protected] | LinkedIn | GitHub | X
• Aditya Peela - [email protected] | LinkedIn | GitHub | X
• Sitaraman Subramanian - [email protected] | LinkedIn | GitHub | X

Citations

Contribution

Les contributions sont les bienvenues. Consultez le Contributing Guide et le Code of Conduct.

Licence

MIT License

Avertissement

Pentest Copilot est destiné uniquement aux tests de sécurité autorisés. Obtenez toujours une autorisation explicite avant de tester un système.