एलएलएम काउंसिल — वीएपीटी फाइंडिंग वैलिडेशन

एक ब्लाइंड पीयर-रिव्यू पाइपलाइन जो ग्राहक तक पहुँचने से पहले पेनिट्रेशन-टेस्ट फाइंडिंग को मान्य करती है। स्वतंत्र विशेषज्ञ लेंस फाइंडिंग का आकलन करते हैं, एक-दूसरे की ब्लाइंड समीक्षा करते हैं, और एक चेयरमैन एक सत्यापित निर्णय को संश्लेषित करता है — क्या यह रिपोर्ट करने योग्य है, और क्या गंभीरता कैलिब्रेटेड है?

इसे चलाने के दो तरीके:

यह रिपॉजिटरी स्रोत सत्य है। यहाँ संपादित करें, git के साथ कमिट करें। Claude प्रोजेक्ट नॉलेज बेस केवल-पढ़ने योग्य मिरर है — जब फ़ाइलें सार्थक रूप से बदलती हैं तो बदली हुई फ़ाइलों को पुनः अपलोड करें। दो-तरफ़ा सिंक न करें।

रिपॉजिटरी लेआउट

llm-council-vapt/
├── README.md                      # this file
├── requirements.txt               # python deps
├── .env.template                  # key names, no values
├── .gitignore                     # ignores .env (keys never committed)
├── skills/
│   └── llm-council/
│       └── SKILL.md               # the skill (8 members, protocols, modes)
├── scripts/
│   └── council_direct.py          # parallel cross-vendor engine
└── docs/
    └── project_system_prompt.md   # paste into Claude Project settings

स्थापना

# 1. clone / place the repo
git clone <your-repo-url> llm-council-vapt
cd llm-council-vapt

# 2. make the skill discoverable by Claude Code (symlink, so edits stay live)
mkdir -p ~/.claude/skills
ln -s ~/llm-council-vapt/skills/llm-council ~/.claude/skills/llm-council

# 3. keys
cp .env.template .env
nano .env        # paste the three keys, save

.env को संपादित करें और अपनी Anthropic, OpenAI, और Google API कुंजियाँ जोड़ें।

विकल्प A — venv (अनुशंसित)

अपने सिस्टम Python से निर्भरताओं को अलग रखता है।

python3 -m venv venv
source venv/bin/activate
pip install -r requirements.txt

विकल्प B — सिस्टम-व्यापी स्थापना

pip install -r requirements.txt

नोट (Kali / Debian-आधारित सिस्टम): PEP 668 डिफ़ॉल्ट रूप से सिस्टम-व्यापी pip install को ब्लॉक करता है। यदि आप externally-managed-environment देखते हैं, तो विकल्प A का उपयोग करें या इसे बलपूर्वक करें:

root@kitploit:~

pip install -r requirements.txt --break-system-packages

स्थापना सत्यापित करें

python scripts/council_direct.py --help
ls -l ~/.claude/skills/llm-council/SKILL.md   # should resolve via the symlink

यदि दोनों साफ चलते हैं, तो आप तैयार हैं।

उपयोग

पूर्ण कमांड संदर्भ (हर फ्लैग, हर मोड, सभी उदाहरण) के लिए docs/USAGE.md देखें।

चैट में (मैनुअल चेयरमैन मोड)

बस एक कमांड टाइप करें — कोई कुंजी नहीं, कोई स्क्रिप्ट नहीं:

/llm-council -q -u                 # quick, upload file
/llm-council medium validation -p  # medium, paste content
/llm-council -f -u -v2 -s high     # full, upload, version 2, validate High claim

फ्लैग: मोड -q|-m|-f (या quick|medium|full validation), इनपुट -u (अपलोड) / -p (पेस्ट), वर्शन -vN, गंभीरता -s low|medium|high|critical।

आपकी मशीन पर (समानांतर क्रॉस-वेंडर मोड)

python3 scripts/council_direct.py \
    --mode full \
    --finding ./finding.md \
    --severity high \
    --version 2 \
    --finding-id <YOUR-FINDING-ID> \
    --project <PREFIX> > council_run.json

--finding एक फ़ाइल पथ या रॉ टेक्स्ट स्वीकार करता है। स्क्रिप्ट JSON प्रिंट करती है (आकलन + ब्लाइंड रैंकिंग + समग्र + कोई भी विफलता)। फिर Claude Code को council_run.json पढ़ने और काउंसिल के चरण 3 (चेयरमैन संश्लेषण) को चलाने के लिए कहें ताकि अंतिम निर्णय तैयार हो सके।

मोड → सदस्य

quick  (-q) → Red-teamer · CVSS Auditor · Evidence Auditor                 (3)
medium (-m) → + Attack Chain Analyst · Remediation Critic                  (5)
full   (-f) → + Threat Intel Analyst · False Negative Hunter ·
              Business Impact Translator                                    (8)

त्वरित = तेज़ इन-एंगेजमेंट सैनिटी जांच। मध्यम = वे फाइंडिंग जिन्हें आप रिपोर्ट करने का इरादा रखते हैं। पूर्ण = प्री-डिलीवरी गेट; किसी भी High/Critical के लिए डिफ़ॉल्ट।

मॉडल आईडी

आधिकारिक प्रदाता दस्तावेज़ (जून 2026) के विरुद्ध सत्यापित। स्थायी नहीं — जब प्रदाता नए फ्लैगशिप जारी करते हैं तो scripts/council_direct.py के शीर्ष पर MODELS अपडेट करें।

सुरक्षा नोट्स

• .env gitignored है। असली कुंजियाँ कभी कमिट नहीं होतीं। अपने पहले git add से पहले git status से सत्यापित करें — .env प्रकट नहीं होना चाहिए।
• कुंजियाँ रनटाइम पर python-dotenv के माध्यम से वातावरण से पढ़ी जाती हैं। वे कभी लॉग या आउटपुट JSON में नहीं लिखी जातीं।
• काउंसिल आपके द्वारा प्रदान किए गए साक्ष्य के विरुद्ध रिपोर्ट दावों को मान्य करता है — यह लाइव एंडपॉइंट का परीक्षण नहीं करता। ग्राउंड ट्रुथ आपके curl / nmap / Burp कार्य के साथ रहता है।

इनपुट फॉर्मेट

स्क्रिप्ट टेक्स्ट-आधारित फाइंडिंग को सीधे पढ़ती है: .md, .txt, .json, .csv, .yaml, या इनलाइन पास किया गया रॉ टेक्स्ट। बाइनरी/डॉक्यूमेंट फॉर्मेट (.pdf, .docx, .xlsx, आदि) समर्थित नहीं हैं — स्क्रिप्ट उन्हें पहचानती है और एक संदेश के साथ बाहर निकलती है जो आपको पहले .md/.txt में कनवर्ट करने के लिए कहता है। चूंकि फाइंडिंग मार्कडाउन में लिखी जाती हैं, यह सामान्यतः कोई समस्या नहीं है।

संबंधित-फाइंडिंग (श्रृंखला) विश्लेषण

पूर्ण/मध्यम मोड में अटैक चेन विश्लेषक सहोदर फाइंडिंग पर विचार कर सकता है:

• --findings-dir <path> — स्कैन करने के लिए निर्देशिका (डिफ़ॉल्ट रूप से फाइंडिंग फ़ाइल की अपनी निर्देशिका)।
• --project <prefix> — वैकल्पिक फ़ाइलनाम-उपसर्ग टैग जो फ़िल्टर करता है कि कौन से सहोदर संबंधित माने जाएं। यदि छोड़ दिया जाए, तो सभी पढ़ने योग्य टेक्स्ट सहोदर पर विचार किया जाता है। टैग रनटाइम पर प्रदान किया जाता है; कोई क्लाइंट नाम या उपसर्ग कोड में नहीं बेक किए गए हैं।
• अपनी वास्तविक फाइंडिंग फ़ाइलों को इस रिपॉजिटरी के बाहर रखें (अपनी मशीन पर कहीं भी)। प्रति रन उस स्थान पर --findings-dir को इंगित करें।

ज्ञात अंतराल (ट्रैक किए गए, अभी तक निर्मित नहीं)

1. गलत-सकारात्मक रिपोर्ट टेम्पलेट — काउंसिल द्वारा अस्वीकार किए गए फाइंडिंग के लिए एक समर्पित आउटपुट टेम्पलेट, मानक निर्णय प्रारूप से अलग।

लेखक

Holiday द्वारा निर्मित।