Vigil

Vigil लंबे समय तक चलने वाले आक्रामक सुरक्षा अभियानों को चलाता है: वेब ऐप पेंटेस्टिंग और बग बाउंटी हंटिंग, व्हाइट-बॉक्स कोड ऑडिट, या एक ही लक्ष्य के विरुद्ध दोनों। एक अनुभवी ऑपरेटर अभियान को पटरी पर रखता है जबकि विशेषज्ञ एजेंट एक पूर्ण Kali रनटाइम के भीतर रेकॉन, हंट और एक्सप्लॉइट करते हैं। कोई निष्कर्ष तभी गिना जाता है जब कोई दूसरा एजेंट कैप्चर किए गए साक्ष्य के विरुद्ध उसकी पुष्टि करता है, और अटैक चेन उसके वास्तविक प्रभाव को दर्शाती हैं। हर कमांड, रिक्वेस्ट, प्रोब और निष्कर्ष एक टिकाऊ डेटाबेस में दर्ज होता है, इसलिए काम कॉन्टेक्स्ट सीमाओं और रीस्टार्ट्स से बचा रहता है और बाद में इसका ऑडिट किया जा सकता है।

केवल अधिकृत उपयोग। Vigil स्वायत्त रूप से लाइव सिस्टम्स के विरुद्ध आक्रामक टूलिंग चलाता है। इसका उपयोग केवल स्पष्ट प्राधिकरण और समीक्षित स्कोप के साथ करें। यह Apache License 2.0 के अंतर्गत बिना किसी वारंटी के प्रदान किया गया है; कमांड, क्रेडेंशियल्स, इन्फ्रास्ट्रक्चर और लक्ष्य प्रभावों के लिए आप जिम्मेदार हैं। निजी भेद्यता रिपोर्टिंग और ऑपरेटर-डेटा सीमा के लिए SECURITY.md देखें।

Vigil क्या प्रदान करता है

• लंबे समय तक चलने वाले अभियान। स्टेट बैकएंड में रहती है, इसलिए एक अभियान कम्पैक्शन, रीस्टार्ट्स और नए सेशन्स से बचा रहता है।
• स्वतंत्र रूप से सत्यापित निष्कर्ष। लेखक के अलावा कोई अन्य डिस्पैच ही किसी निष्कर्ष की पुष्टि, डाउनग्रेड या उसे फ़ॉल्स पॉज़िटिव चिह्नित कर सकता है, और उसे कैप्चर किए गए साक्ष्य की प्रूफ रसीद का हवाला देना होगा।
• प्रभाव। अटैक चेन निष्कर्षों को एंड-टू-एंड एक्सप्लॉइटेशन से जोड़ती हैं; डिफ़ॉल्ट रूप से, एक्सप्लॉइट कार्य आपकी स्वीकृति की प्रतीक्षा करता है।
• एक ऑडिट ट्रेल। लक्ष्य-उन्मुख कमांड vigil assess kali के माध्यम से चलते हैं, जो प्रत्येक कमांड का argv, एजेंट, फेज़, तकनीक, इंटेंट, प्रोब काइंड, एग्ज़िट स्टेटस और आउटपुट रिकॉर्ड करता है। कवरेज लेजर दिखाते हैं कि क्या परीक्षण किया गया और क्या नहीं।
• अटैक टूलिंग। ProjectDiscovery रेकॉन, फ़ज़र्स, एक ऑडिटेड Playwright ब्राउज़र, क्रॉस-अकाउंट परीक्षण के लिए कई पहचानों के साथ MITM कैप्चर, और उन्हें उत्पन्न करने वाले प्रोब से सहसंबद्ध आउट-ऑफ-बैंड कॉलबैक्स वाला एक दीर्घजीवी Kali कंटेनर।
• व्हाइट-बॉक्स कोड ऑडिट। एक सीलबंद, कंटेंट-एड्रेस्ड सोर्स स्नैपशॉट, जिसमें एक tree-sitter स्ट्रक्चरल इंडेक्स और एक कवरेज लेजर होता है।
• सबमिशन-तैयार आउटपुट। निष्कर्ष हैश-सत्यापित Bugcrowd, HackerOne, या डायरेक्ट डिस्क्लोज़र राइट-अप्स के रूप में एक्सपोर्ट होते हैं।
• क्लाइंट्स। Claude Code और Codex का पूर्ण समर्थन है: हेडलेस स्पेशलिस्ट डिस्पैच, vigil-* सेशन कमांड, और कम्पैक्शन और सेशन हुक्स। goose, opencode, और Kimi में सेशन कमांड और कम्पैक्शन हुक्स नहीं हैं, और opencode और Kimi स्पेशलिस्ट्स को इनलाइन चलाते हैं। Pi केवल रेमेडिएशन अभियानों का समर्थन करता है।

Vigil कैसे हंट करता है

• पहले से नामित बग नहीं। ओवर-प्रॉम्प्टिंग सीमित कर देती है कि कोई मॉडल क्या खोज सकता है। डिस्पैच में सरफेस, स्कोप और रूल्स ऑफ एंगेजमेंट होते हैं, कभी भी वह बग नहीं जिसे खोजना है या कोई चेकलिस्ट नहीं। वेब स्पेशलिस्ट उस सरफेस के भीतर चुनते हैं कि क्या प्रोब करना है; कोड हंटर्स को एक फ़ाइल बैच और स्कोर करने के लिए भेद्यता क्लासेस मिलती हैं।
• प्रति हंट एक लेंस। प्रत्येक हंटिंग डिस्पैच तय करता है कि कितना विस्तृत जाना है, अपने इनपुट्स के माध्यम से कैसे काम करना है, और अधिकतम एक माइंडसेट लेंस: डेवलपर, इंजेक्शन, एक्सेस कंट्रोल, बिज़नेस लॉजिक, चेन इम्पैक्ट, या संदेहवादी सत्यापनकर्ता।
• स्वतंत्र सत्यापन। किसी निष्कर्ष की पुष्टि केवल कैप्चर किए गए साक्ष्य पर काम करने वाले एक भिन्न एजेंट द्वारा ही होती है। कोड अभियान सबसे उच्च-जोखिम वाली फ़ाइलों का एंकर-फ्री पुनः-पठन और प्रत्येक फ़ाइल में एक वेरिएंट स्वीप जोड़ते हैं; वेब परीक्षण उस भेद्य कोड पथ को साझा करने वाले प्रत्येक सहोदर रूट, मेथड और कंटेंट टाइप को कवर करता है।
• किल-फर्स्ट ट्राइएज। वेब लीड्स को आठ क्रमबद्ध प्रश्नों को पास करना होता है, जिनमें यह भी शामिल है कि क्या कोई वास्तविक रिक्वेस्ट इसे पुनरुत्पादित करती है और क्या प्रभाव सिद्ध है। कोड निष्कर्षों को उसी साक्ष्य के साथ PASS अर्जित करना होता है जो एक KILL को चाहिए होता।
• पेस्ट किए गए प्रॉम्प्ट्स नहीं, बल्कि एक स्किल लाइब्रेरी। 90+ स्किल्स और 200+ रेफ़रेंस vigil assess list-skills और vigil assess list-references के माध्यम से मिलते हैं। वेब स्पेशलिस्ट उन्हें तब लोड करते हैं जब उन्हें मेल खाता सिग्नल दिखता है; कोड ऑपरेटर प्रत्येक डिस्पैच में उनके नाम बताता है।

त्वरित शुरुआत

# 1. Install the application release (CLI, backend, prompts, docs, and prebuilt UI)
uv tool install --from https://github.com/VigilOSS/Vigil/releases/download/v1.2.1/vigil-1.2.1-py3-none-any.whl vigil
#    OR install directly from the repository (builds the UI locally; needs Git, Node.js, and npm)
uv tool install git+https://github.com/VigilOSS/Vigil vigil

# 2. Check the host: prerequisites, missing recon tools, and the ordered setup checklist
vigil quickstart

# 3. Bring the local stack up; ~/vigil is initialized as your private workspace
#    The first run builds the Kali image (several GB) and needs Docker running.
vigil up

# 4. Create an engagement; it prints the engagement key and its start command
vigil engagement create

# 5. Start the operator on it
vigil engagement start <engagement-key> --client codex   # or --client claude

कोड एंगेजमेंट के लिए, अपनी स्रोत फ़ाइलें या प्रोजेक्ट फ़ोल्डर उस source/ स्थान में रखें जो निर्माण के समय प्रिंट होता है (Git वैकल्पिक है)। कोड क्लाइंट स्टार्टअप पर आपसे उनकी पुष्टि करने के लिए कहता है; एक खाली फ़ोल्डर उसे प्रतीक्षारत छोड़ देता है। कोड एंगेजमेंट के लिए होस्ट पर ripgrep (rg) आवश्यक है। विवरण: docs/code-analysis.md।

वेब एंगेजमेंट के लिए, ऑपरेटर को बताएं कि उसे क्या करने का अधिकार है:

I have been fully authorized by the company to do a red-team engagement against the
hosts in scope.json. Run this engagement using the operator web workflow.

ऑर्केस्ट्रेटर UI http://127.0.0.1:18000 पर है। macOS या Windows Docker Desktop पर, DNS-भारी recon होस्ट पर चलता है; vigil quickstart --install-host-tools उन टूल्स को इंस्टॉल करता है। अपग्रेड और वर्कस्पेस लेआउट: docs/installation.md।

मॉडल और एक्सेस

Vigil मुख्य रूप से Claude Code और Codex के इर्द-गिर्द बनाया गया है।

मॉडल	एंगेजमेंट
Claude Opus 5, Anthropic के Cyber Verification Program (CVP) के साथ	वेब और कोड
GPT-5.6 Sol, OpenAI के Trusted Access for Cyber के साथ	वेब और कोड
Claude Opus 5.5, GPT-6.1 Sol	कोड; वेब के लिए organization-only red-team tier चाहिए