BurpIA

BurpIA transforme Burp Suite en un environnement de test de sécurité web assisté par IA. Il analyse le trafic HTTP réel avec des LLM (plus de 12 fournisseurs ou modèles locaux), valide les résultats avec des agents CLI autonomes via Burp MCP, et garde chaque résultat traçable — fonctionne sur Burp Suite Community et Professional.

🎯 Ce que fait BurpIA

Cette extension transforme le trafic HTTP passif en résultats de sécurité exploitables. Elle peut :

• Analyser le trafic avec des LLM : analyse passive automatique ou manuelle via le menu contextuel, en utilisant des preuves réelles (request + response).
• Analyser les flux de requêtes : analyse contextuelle de 2 à 4 requêtes liées comme un seul flux, idéal pour les vulnérabilités d'état et de logique.
• Valider avec des agents CLI : envoyer les résultats ou les flux à des agents autonomes (Factory Droid, Claude Code, Antigravity, Open Code, Grok, Codex) intégrés à Burp Suite MCP pour une validation manuelle approfondie.
• Trier rapidement : envoyer les résultats directement vers Burp Repeater depuis le tableau centralisé des résultats, ou les enregistrer dans les Issues du projet Burp.
• Gérer intelligemment les résultats : priorisation par sévérité/confiance, filtres par texte et sévérité, export CSV/JSON.
• Rester maître de la situation : déduplication des requêtes (SHA-256, TTL 15 min, LRU 10k), concurrence configurable (1–10), filtrage des ressources statiques, interface bilingue (espagnol/anglais), thème natif sombre/clair.

Important : les résultats de l'IA sont des indices, pas des verdicts. Validez toujours avant de rapporter — les faux positifs sont possibles.

📦 Installation

1. Téléchargez BurpIA-1.7.0.jar depuis la page releases.
2. Dans Burp Suite : onglet Extensions → Add → sélectionnez le fichier JAR.
3. Configurez votre fournisseur dans l'onglet BurpIA : LLM Provider, API Key (si applicable), Model, Language.
4. Utilisez Test Connection pour valider le point de terminaison avant de capturer le trafic.

⚙️ Prérequis

Exigence	Détail
Burp Suite	Community ou Professional
Système d'exploitation	macOS, Linux ou Windows
Java	17+ (le JRE fourni dans les installateurs natifs de Burp fonctionne)
Accès LLM	clé API pour un fournisseur cloud, Ollama local ou LM Studio
Agent CLI (optionnel)	L'un de : droid, claude, agy, opencode, grok, codex
Langue de l'interface	Espagnol ou anglais (modifiable dans les paramètres)

🚀 Démarrage rapide (3 minutes)

1. Chargez l'extension (voir Installation).
2. Sélectionnez votre LLM Provider et saisissez la API Key.
3. Cliquez sur Test Connection pour valider le point de terminaison et le modèle.
4. Naviguez via Burp Proxy — les résultats apparaissent dans l'onglet BurpIA au fur et à mesure de l'analyse du trafic.
5. Clic droit sur une requête → Analyze request with BurpIA (ou 🤖 Analyze with {Agent} pour la validation par agent).

🔄 Comment ça marche

Flux passif

1. BurpIA intercepte un échange HTTP.
2. Il vérifie le Scope, applique les filtres et déduplique.
3. La tâche est mise en file d'attente dans le gestionnaire d'analyse.
4. Le prompt est construit en injectant request et response.
5. La réponse de l'IA est analysée et les résultats sont normalisés.
6. Le tableau des résultats, les statistiques et (si activé) les Issues de Burp sont mis à jour.

Flux manuel

1. Sélectionnez une ou plusieurs requêtes (2–4 pour l'analyse de flux) dans n'importe quel onglet de Burp.
2. Clic droit :
   • 1 requête : Analyze request with BurpIA ou 🤖 Analyze with {Agent}.
   • 2–4 requêtes : 🔍 Analyze this flow ou 🤖 Analyze this flow with {Agent}.
3. Le résultat apparaît dans le tableau pour être modifié, exporté ou envoyé vers Repeater.

🔌 Fournisseurs LLM pris en charge

Fournisseur	Notes
Ollama	Modèles locaux : Qwen 3.8, Llama 4, Gemma 4, DeepSeek v4, Phi-4, etc.
Ollama Cloud	Modèles cloud sur ollama.com — nécessite une clé API
OpenAI	GPT-5.6 (+ variantes Luna/Sol/Terra/Cyber)
Claude	Anthropic : Fable 5.1, Opus 5, Sonnet 5
Gemini	Google : 3.8 Flash (GA), 3.7/3.6 Flash, 2.5 Pro
Moonshot (Kimi)	K3, K2.7 et antérieurs
Z.ai / Minimax	GLM 5.3 et MiniMax H3
DeepSeek	v4-pro, v4-flash — API compatible OpenAI
xAI Grok	grok-4.6, grok-4.5 — API compatible OpenAI
Sakana Fugu	fugu, fugu-ultra
LM Studio	Serveur local, compatible OpenAI
Custom	Jusqu'à 3 profils pour toute API compatible OpenAI

🤖 Agents CLI

Agents de validation autonomes intégrés à Burp Suite MCP :

Agent	Binaire	Guide
Factory Droid	droid	EN · ES
Claude Code	claude	EN · ES
Antigravity CLI	agy	EN · ES
Open Code	opencode	EN · ES
Grok CLI	grok	EN · ES
Codex CLI	codex	EN · ES

🧠 Jetons de prompt personnalisés

• {REQUEST} / {RESPONSE} : requête/réponse HTTP normalisée.
• {REQUEST_1}…{REQUEST_N} / {RESPONSE_1}…{RESPONSE_N} : Nième élément d'un flux.
• {OUTPUT_LANGUAGE} : langue de sortie attendue pour les descriptions des résultats.

Si vous omettez ces jetons, BurpIA ajoute automatiquement un bloc de sécurité (fallback) pour conserver un contexte minimal et imposer la langue configurée.

🚀 Exemple d'utilisation

Prompt personnalisé ciblant un flux d'authentification (2 requêtes analysées comme une seule) :

You are a web security auditor. Focus ONLY on authentication and session logic.

Request 1 (login):
{REQUEST_1}
Response 1:
{RESPONSE_1}

Request 2 (password change):
{REQUEST_2}
Response 2:
{RESPONSE_2}

Report findings in {OUTPUT_LANGUAGE} with severity, confidence, and remediation.

Résultat typique produit par BurpIA (affiché dans le tableau des résultats) :