Agent de test d'intrusion autonome propulsé par l'IA

AIRecon est un agent de test d'intrusion autonome qui combine un LLM Ollama auto-hébergé avec un bac à sable Docker Kali Linux, une intégration native du proxy Caido, un pipeline structuré RECON → ANALYSIS → EXPLOIT → REPORT et une TUI Textual en temps réel — entièrement hors ligne, aucune clé API requise.

Airecon

Pourquoi AIRecon ?

Les modèles commerciaux basés sur API (OpenAI GPT-4, Claude, Gemini) deviennent prohibitifs pour les workflows de reconnaissance autonomes et récursifs qui peuvent nécessiter des milliers d'appels LLM par session.

AIRecon est conçu 100 % pour un fonctionnement local et privé.

Fonctionnalité	AIRecon	Agents cloud
Clés API requises	Non	Oui
Données cibles envoyées au cloud	Non	Oui
Fonctionne hors ligne	Oui	Non
Intégration Caido	Native	Aucune
Reprise de session	Oui	Variable
Base de connaissances locale	~1,09M d'enregistrements	Aucune

Confidentialité d'abord — Les informations sur la cible, les sorties des outils et les rapports ne quittent jamais votre machine.
Caido natif — 5 outils intégrés : liste, rejeu, automatisation (§FUZZ§), résultats, portée.
Pile complète — Bac à sable Kali + automatisation du navigateur + fuzzer personnalisé + fuzzing API Schemathesis + SAST Semgrep.
Base de connaissances des compétences — 57 fichiers de compétences intégrés, 289 mappages automatiques mot-clé → compétence. Étendu par airecon-skills — une bibliothèque communautaire de compétences avec 57 playbooks CLI supplémentaires pour le CTF, le bug bounty et le pentest.
Base de connaissances de sécurité locale — L'optionnel airecon-dataset indexe ~1,09M d'enregistrements de sécurité (CVE, techniques de red team, writeups CTF, modèles nuclei, payloads de bug bounty) dans des bases SQLite FTS5 locales. Le LLM appelle dataset_search de manière autonome avant de tenter des techniques inconnues — ancrant ainsi ses décisions dans des données réelles indexées.

Pipeline

RECON → ANALYSIS → EXPLOIT → REPORT

Chaque phase a des objectifs spécifiques, des outils recommandés et des critères de transition automatiques. L'application des phases est souple — l'agent est guidé mais jamais bloqué. Des points de contrôle sont exécutés toutes les 5 (évaluation de phase), 10 (auto-évaluation) et 15 (compression de contexte) itérations.

Mémoire et apprentissage (ce que cela fait réellement)

AIRecon ne procède pas à un fine-tuning du LLM. Son « apprentissage » est une télémétrie locale et structurée qui guide le choix des outils et évite de répéter les chemins qui ont échoué.

Persistance locale (tout sur disque, aucun cloud) :

Base de données mémoire SQLite dans ~/.airecon/memory/airecon.db stockant les sessions, les résultats, les modèles, les renseignements sur la cible, l'utilisation des outils, les performances des modèles, l'utilisation des compétences et les découvertes de chaînes d'attaque.
État d'apprentissage adaptatif dans ~/.airecon/learning/global_learning.json (statistiques de performance des outils, modèles de stratégie, journal d'observation, enseignements distillés).
Fichiers mémoire par cible sous ~/.airecon/memory/by_target/ le cas échéant, contenant les endpoints, vulns, contournements WAF, paramètres sensibles et endpoints d'authentification.
Des instantanés de mémoire de payloads peuvent être enregistrés sous workspace/<target>/payload_memory.json lorsque la persistance de session est active.

Comment cela affecte le comportement :

Au démarrage de la session, le contexte mémoire est injecté (renseignements sur la cible, résultats similaires, modèles appris, fiabilité des outils).
Toutes les 8 itérations, les modèles appris et les résultats similaires peuvent être réinjectés en fonction de la technologie détectée.
Le classement adaptatif des outils utilise les succès/échecs historiques pour ordonner les outils et suggérer des stratégies.
La mémoire des payloads (si activée) ignore les payloads qui ont échoué à plusieurs reprises pour la même cible/paramètre.

Exigences relatives au modèle

AIRecon nécessite un modèle avec raisonnement étendu (blocs <think>) et des capacités fiables d'appel d'outils. Les capacités sont détectées automatiquement via les métadonnées ollama show.

⚠️ La prise en charge de l'appel d'outils est REQUISE. Le modèle doit prendre en charge l'appel natif de fonctions/outils. Les modèles sans cette capacité seront incapables d'exécuter les outils (http_observe, execute, actions navigateur, etc.), rendant AIRecon complètement non fonctionnel.

Minimum recommandé : 8B-9B de paramètres. Les modèles de moins de 8B sont techniquement utilisables mais fortement déconseillés — ils hallucinent fréquemment les sorties d'outils, inventent des CVE, ignorent les règles de périmètre et produisent des appels d'outils peu fiables.

Modèle	Pull	VRAM	Remarques
Qwen3.5 122B	`ollama pull qwen3.5:122b`	48+ Go	Meilleure qualité, plus fiable
Qwen3.5 35B	`ollama pull qwen3.5:35b`	20 Go	Recommandé pour la plupart des utilisateurs
Qwen3.5 35b	`ollama pull qwen3.5:35b-a3b`	16 Go	MoE — VRAM inférieure
Qwen3.5 9B	`ollama pull qwen3.5:9b`	6 Go	Minimum viable — attendez-vous à des erreurs fréquentes

Guide de taille du modèle :

≥32B : Fiable pour les pipelines de reconnaissance complets, bonne précision des appels d'outils
8B-14B : Utilisable pour des tâches simples, attendez-vous à 20-40 % d'erreurs d'appels d'outils et d'hallucinations
<8B : Fonctionne techniquement mais produit des résultats peu fiables — non recommandé pour des tests sérieux

Problèmes connus : DeepSeek R1 produit des appels de fonction incomplets. Les modèles < 8B ne disposent pas d'une prise en charge fiable des appels d'outils.

Exécuter Ollama sur Google Colab (Matériel limité)

Si vous ne disposez pas d'un GPU ou si votre VRAM locale est inférieure au minimum, vous pouvez exécuter Ollama sur un GPU T4 Google Colab gratuit et y connecter AIRecon via un tunnel public.

Ouvrir le notebook :

Comment cela fonctionne :

airecon

Populaires

À propos