Custom AI Agent

Le pont entre Burp Suite et l'IA moderne.

Note sur le nom : Cette extension est publiée sous le nom Custom AI Agent (anciennement Burp AI Agent). Elle a été renommée pour se conformer aux exigences de dénomination du BApp Store de PortSwigger et pour éviter toute confusion avec le fournisseur Burp AI intégré à Burp Suite. Le dépôt GitHub (github.com/six2dez/burp-ai-agent), le site de documentation (burp-ai-agent.six2dez.com) et le répertoire de configuration (~/.burp-ai-agent/) conservent l'identifiant burp-ai-agent pour des raisons de continuité.

Custom AI Agent est une extension pour Burp Suite qui intègre l'IA dans votre flux de travail de sécurité. Utilisez des modèles locaux ou des fournisseurs cloud, connectez des agents IA externes via MCP, et laissez les scanners passifs/actifs détecter les vulnérabilités pendant que vous vous concentrez sur les tests manuels.

Nouveautés de la v0.9.0

• Backend Anthropic natif (CAP-01) — API Anthropic Messages en direct via le transport HTTP de Burp ; tout le trafic apparaît dans l'historique du Proxy.
• Secrets chiffrés au repos AES-256-GCM (SEC-01) — toutes les clés API et tous les jetons stockés sont chiffrés avec une clé propre à l'installation via javax.crypto. La clé maîtresse réside dans les Préférences de Burp aux côtés du texte chiffré, ce qui protège contre une inspection occasionnelle d'un fichier de préférences, mais pas contre un attaquant local — voir Notes de confidentialité et de sécurité.
• Anonymisation d'hôte par véritable HKDF (PRIV-01) — le mode STRICT utilise désormais une véritable extraction/expansion HMAC-SHA256 (et non du SHA-256 salé) pour l'anonymisation des hôtes.
• Rédaction du corps des requêtes/réponses + motifs personnalisés (PRIV-02) — le pipeline de rédaction couvre les champs du corps et les motifs regex configurables par l'utilisateur, validés contre ReDoS.
• Détecteur de secrets avant envoi (PRIV-03) — avertit avant que des valeurs à haute entropie ne quittent Burp ; les actions de la liste blanche sont journalisées dans l'audit.
• Serveurs MCP externes (CAP-02) — connectez des serveurs MCP externes/personnalisés (SSE ou stdio) afin que les agents IA puissent appeler leurs outils en plus des outils intégrés de Burp.
• Garde-fous de budget de jetons par session (CAP-04) — BudgetGuard plafonne la consommation du scanner passif avec les états WARN/CAP/OFF ; le scanner passif se met automatiquement en pause au plafond absolu.

Points forts

• 12 backends IA — Burp AI (intégré), Anthropic, Ollama, LM Studio, NVIDIA NIM, Perplexity, OpenAI-compatible générique, Gemini CLI, Claude CLI, Codex CLI, OpenCode CLI, Copilot CLI.
• 59 outils MCP — Laissez Claude Desktop (ou tout client MCP) piloter Burp de manière autonome (8 outils IA natifs de l'extension dans la version store, les 59 dans la version complète).
• Accès MCP limité au périmètre — Confinez facultativement chaque outil MCP à vos hôtes dans le périmètre, afin que les clients IA externes ne puissent pas atteindre des cibles hors périmètre via Burp.
• 62 classes de vulnérabilités — Des scanners IA passifs et actifs couvrant l'injection, l'authentification, la cryptographie, et plus encore. Le scanner passif s'exécute comme un PassiveScanCheck de Burp (Burp Pro).
• Installation via Releases — Téléchargez le JAR depuis Releases. Pas sur le BApp Store : la soumission est ouverte depuis janvier 2026.
• Interface adaptée au thème — Un système de conception interne habille le panneau de paramètres et s'adapte automatiquement au commutateur clair/sombre de Burp.
• Burp Scan Skill — Utilisez votre assistant de codage IA préféré (Claude Code, Gemini CLI, Codex, etc.) comme scanner via MCP.
• 3 modes de confidentialité — STRICT / BALANCED / OFF. Rédigez les données sensibles avant qu'elles ne quittent Burp.
• Bibliothèque de prompts personnalisés — Enregistrez des prompts libres par contexte (requête HTTP ou problème de scanner) ; lancez-les depuis le menu contextuel ou saisissez-en des ponctuels via Custom….
• Journalisation d'audit — JSONL avec hachage d'intégrité SHA-256 pour la conformité ; chaque lancement est estampillé avec promptSource / contextKind pour la reproductibilité.

Démarrage rapide

1. Installer

Téléchargez le dernier JAR depuis Releases, ou compilez à partir des sources (Java 21) :

git clone https://github.com/six2dez/burp-ai-agent.git
cd burp-ai-agent

# Full build (default, GitHub releases) — all 59 MCP tools
JAVA_HOME=/path/to/jdk-21 ./gradlew clean shadowJar
# Output: build/libs/Custom-AI-Agent-full-<version>.jar

# Store build (BApp Store submission) — 8 extension-native AI MCP tools only
JAVA_HOME=/path/to/jdk-21 ./gradlew clean shadowJar -PstoreBuild=true
# Output: build/libs/Custom-AI-Agent-<version>.jar

2. Charger dans Burp

1. Ouvrez Burp Suite (Community ou Professional).
2. Allez dans Extensions > Installed > Add.
3. Sélectionnez Java comme type d'extension et choisissez le fichier .jar.

L'extension s'enregistre dans Burp sous le nom Custom AI Agent (le nom dans la liste des Extensions et l'onglet Suite) pour la distinguer du fournisseur Burp AI intégré à Burp.

3. Profils d'agent

L'extension installe automatiquement les profils fournis dans ~/.burp-ai-agent/AGENTS/ au premier lancement. Déposez des fichiers *.md supplémentaires dans ce répertoire pour ajouter des profils personnalisés.

4. Configurer un backend

Ouvrez l'onglet AI Agent et allez dans Settings. Choisissez un backend :