strategic-automation/violinProfil de pentest agentique pour Hermes : 31 playbooks pour la reconnaissance autorisée, les attaques web/contrôle d'accès, la validation sûre des exploits et le reporting fondé sur les preuves avec garde-fous.
35 playbooks · 19 références · 14 modèles · garde d'exécution obligatoire · natif Hermes
Violin est un profil de pentest agentique natif Hermes pour des tests d'intrusion supervisés et autorisés — de la reconnaissance à la validation d'exploit sécurisée jusqu'au rapport. Il s'appuie sur les outils intégrés de Hermes, sept compétences routées et le plugin obligatoire violin_guard à la frontière d'exécution sur la cible. La CLI autonome prend en charge les vérifications de version, les diagnostics et la récupération administrative ; les commandes ciblant la cible passent par le plugin. Violin n'ajoute aucun identifiant propre au profil et hérite des backends de fournisseurs et d'outils déjà configurés dans Hermes.
Démarrage rapide · Workflow · Outils de garde · Benchmarks · Page d'accueil · Discussions · Développement
Vous suivez Violin ? Ajoutez une étoile au dépôt pour le garder facile à trouver et aider d'autres ingénieurs en sécurité à découvrir le pentesting agentique supervisé.
Violin figure dans des collections curatées par la communauté, notamment awesome-ai-security, awesome-hermes-skills, awesome-hermes-agent et awesome-infosec.
Couverture par des tiers : analyse technique de Starlog et « Violin: Supervised Agentic Penetration Testing Profile for Hermes Agent ».
Pour une évaluation indépendante, utilisez le kit de l'évaluateur, qui rassemble le parcours de benchmark, les limites connues, le contexte de revue et une comparaison factuelle avec les conceptions d'agents de pentest autonomes.
| Exécution ciblée sécurisée | Les vérifications de périmètre, de phase, de PTT, de compétence, d'hypothèse, d'historique et de synchronisation sont exécutées avant le démarrage d'une commande cible. |
| État d'engagement persistant | Les tâches PTT, les hypothèses, l'historique des commandes, les points de contrôle, les preuves et les rapports survivent à la compression du contexte. |
| Constats étayés par des preuves | Une soumission typée lie chaque constat validé à des reçus d'exécution authentifiés. |
| Méthodologie routée | Un orchestrateur de pentest sélectionne des playbooks ciblés pour le web, l'identité, les API, la logique métier, la sécurité des LLM et les erreurs de configuration. |
| Exécution bornée | Les commandes uniques, les rafales de commandes, les processus en arrière-plan, la revue par lots, les vérifications de heartbeat et l'annulation partagent un même modèle d'état. |
| Versions vérifiables | L'enregistrement des plugins, les schémas, les instantanés de compétences, les contrats de documentation, le lint, le formatage et la suite de tests complète sont soumis à des conditions de publication. |
hermes profile install https://github.com/Strategic-Automation/violin
hermes -p violin plugins disable violin_guard
hermes -p violin plugins enable violin_guard --no-allow-tool-override
hermes -p violin
Les dépendances du guard sont déclarées dans plugins/violin_guard/plugin.yaml. Le nom du plugin, le répertoire et la configuration d'activation utilisent tous violin_guard, ce qui permet à Hermes de résoudre ses dépendances sans contournement de répertoire. L'installation des dépendances dans le .venv de développement ne les installe pas dans Hermes. Le cycle de désactivation/réactivation ci-dessus force l'admission des dépendances même lorsque la configuration du profil active déjà le plugin. Vérifiez l'enregistrement après l'installation :
hermes -p violin plugins doctor ~/.hermes/profiles/violin/plugins/violin_guard --ci
hermes -p violin tools list
Plugin Doctor doit signaler 12 outils et 5 hooks, et violin_guard doit apparaître
comme un toolset activé. Redémarrez Hermes après l'installation avant de démarrer un
engagement. Réinstallez le profil pour migrer une ancienne installation de violin-guard.
Ensuite, commencez par une cible autorisée et laissez Violin collecter le périmètre avant toute interaction avec la cible :
Run an authorized penetration test against example.com.
v2026.9.24)uv pour le développement localViolin ne sélectionne ni modèle ni fournisseur. Configurez-les dans Hermes. Pour un choix par défaut performant, utilisez Qwen3.8 27B en local ou DeepSeek V4 Flash via un fournisseur hébergé.
flowchart LR
S[Scope] --> R[Recon]
R --> V[Vulnerability research]
V --> E[Exploit validation]
E --> P[Reporting]
P --> X[Retrospective]
G[Violin Guard] -. validates .-> R
G -. validates .-> V
G -. validates .-> E