mulot

Pentesteur web intelligent agentic qui pilote un navigateur.

Un LLM à poids ouverts (GLM-5.2, Gemma ou Qwen) pilote un vrai Chromium sans tête via une boîte à outils de style Burp et travaille sur une cible comme le ferait un pentesteur humain. Pas de modèle de pointe, pas d'agent tournant dans une VM Kali.

_{reconnaissance → écrit sa propre charge utile JavaScript → injection de commande → drapeau.}

En utilisant uniquement ce harnais, des agents GLM-5.2 à poids ouverts ont résolu 87% des OverTheWire Natas et 73% des Root-Me Web-Server (tableaux complets ci-dessous).

• Navigateur réel, pas seulement HTTP : flux de connexion réels, applications lourdes en JS et XSS basé sur le DOM.
• Primitives de type Burp : historique du trafic, répéteur, intrus, analyse passive.
• Pas d'API de pointe, pas d'agent dans une VM : Qwen 3.6 27B est utilisable ; GLM-5.2 est le point idéal.

L'idée

Un agent n'est pas seulement un modèle, les outils comptent souvent plus que le nombre de paramètres.

Les modèles ont lu la littérature sur la sécurité, les proxys intercepteurs, l'historique des requêtes, les plans de site, le fuzzing d'un point d'insertion. Burp, ZAP, mitmproxy, Fiddler : leur vocabulaire et leurs gestes existent dans le corpus sur lequel le modèle a été entraîné.

Ainsi, mulot façonne le harnais pour exposer exactement ces primitives.

Deux moitiés

mulot se divise en deux : un proxy qui capture et rejoue chaque échange, et une couche de réflexion qui exécute le code propre de l'agent à l'intérieur de la page cible.

La moitié proxy

• Journal du trafic (Historique) : chaque échange HTTP atterrit dans une base de données SQLite toujours active, interrogeable et reproductible. La capture passe par le protocole CDP du navigateur, donc HTTPS est lu déjà déchiffré : pas de certificat d'interception, pas de véritable MITM.

• Éditeur de requêtes (Intercepteur/Répéteur) : reconstruire une requête à partir d'une URL ou la ressemer à partir d'un flux capturé, la modifier et la réémettre, en dehors des règles CORS du navigateur.

• Http fuzz (Intrus) : un point d'insertion marqué, un ensemble de charges utiles échangées tour à tour, et des conditions de correspondance sur le statut, la longueur ou l'expression régulière.

• Analyses (Analyse passive) : passages passifs et actifs sur ce même journal et le DOM en direct.

La moitié réflexion

• JavaScript dans la page : une boîte à outils JS exécutée à l'intérieur de la page, pas sur l'hôte. L'agent automatise de l'intérieur, la machine qui l'exécute reste hors d'atteinte. Il injecte des bibliothèques JS auxiliaires dans le contexte DOM et crée ses propres outils JavaScript pour les attaques d'oracle de rembourrage, les SQLi temporelles, la désérialisation...

• Compétences et listes de mots intégrées : des playbooks et des listes de mots intégrés dans le binaire, servis à la demande par balise. Les compétences sont choisies après l'empreinte digitale de la cible ; les listes de mots, grandes par nature, ne traversent jamais la fenêtre de contexte : elles sont consommées côté serveur ou itérées dans la page.

Compétences : playbooks intégrés, sélection dynamique

Les playbooks vivent dans le binaire (go:embed sur assets/skills/) et sont servis par deux outils :

• list_skills énumère les piles disponibles (php, python, java, nodejs, ...).
• load_skill renvoie le workflow partagé sans arguments, ou le playbook adapté à une pile lorsque vous le nommez (load_skill(["python"])).

Le flux : le modèle obtient le workflow partagé dès le début (afin qu'il connaisse ses capacités avant de connaître la cible), empreinte la cible, puis charge la pile correspondante. Les cibles polyglottes sont acceptables ; appelez-la à nouveau à mesure que d'autres piles émergent. Ajouter une pile signifie placer un répertoire assets/skills/<name>/ et recompiler.

Démarrage rapide

go build -o mulot ./cmd/mulot        # build the MCP server binary

# local llama.cpp
python3 agent.py  --provider llamacpp --model qwen3.6-mtp --base http://localhost:8080 \
  "pwn this server http://localhost:4280/login.php and output only id and uname -a command"

# zai token
export ZAI_API_KEY=...        
python3 agent.py --provider zai --model glm-5.2 "audit http://localhost:8000"

agent.py est un petit harnais monofichier qui pilote mulot via MCP stdio et parle à tout endpoint compatible OpenAI avec appel d'outils. Préréglages : openrouter, llamacpp, zai. Le fournisseur est détecté automatiquement à partir de la clé API présente dans l'environnement.

Variables d'environnement :

Résultats

L'exécution d'agents GLM-5.2 à poids ouverts contre des défis de pentest web en utilisant uniquement ce harnais (max 120 étapes) a produit des résultats solides :

OverTheWire (Natas) : 87% résolus

Root-Me (Web-Server) : 73% résolus

Beaucoup d'échecs venaient des outils sandbox de mulot qui ne pouvaient pas être réécrits en pur JavaScript dans la page (sérialisation d'objets spécifiques, conditions de course gagnantes, certaines opérations cryptographiques, craquage, bruteforce, canaux hors-bande).

Exemples de chaîne de raisonnement

Utilisation responsable

mulot est un outil de sécurité offensif pour les tests autorisés uniquement : les systèmes que vous possédez, les engagements pour lesquels vous avez une autorisation écrite, et les laboratoires délibérément vulnérables comme OverTheWire, Root-Me ou DVWA. Il lance de véritables attaques contre toute cible que vous lui désignez, donc le pointer vers un système que vous ne possédez pas ou pour lequel vous n'êtes pas explicitement autorisé à tester est probablement illégal et n'est pas un cas d'utilisation pris en charge. Vous êtes responsable de rester dans le périmètre et dans le respect de la loi. Publié sous licence Apache-2.0, sans garantie.