`install.sh` configura il tuo provider LLM in modo interattivo (non è necessario modificare `docker-compose.yml`) e compila l'intero stack:```bash
./install.sh           # skip form if .opencode.env already configured
./install.sh --init    # force reconfiguration (cloud or local model)
./install.sh --help    # show usage

**Prerequisiti:** Docker e Docker Compose, e una chiave API LLM (o un modello locale). Configurazione GPU, variabili d'ambiente e il riferimento completo dei flag sono disponibili nella [Documentazione Completa](https://github.com/ascit31/dark-moon/blob/master/docs/full.md).

---

## Griglia delle funzionalità

| | |
|---|---|
| 🧠 **50 agenti specializzati** | Un sistema agentico ragiona, pianifica e invia agenti specializzati su ogni superficie che scopre. |
| 🌐 **Ogni superficie** | Web, API, Active Directory, Kubernetes, cloud (AWS, Azure, GCP), CI/CD, database, firmware IoT ed endpoint AI/LLM, concatenati end to end. |
| 🔒 **Privacy Gateway** | La tokenizzazione locale reversibile trasforma IP, host, URL e credenziali reali in placeholder deterministici, reidratati solo localmente nel momento in cui uno strumento viene eseguito. |
| 🏠 **Modello locale** | Esegui l'intera valutazione su un LLM locale (Ollama, llama.cpp) così i valori della tua infrastruttura restano nel tuo perimetro. |
| 🧾 **Evidenze, non punteggi** | Ogni finding viene fornito con il comando esatto e l'output grezzo; il retest Pro riesegue l'exploit per confermare la correzione. |
| 🛡️ **Sicurezza by design** | L'AI non esegue mai un comando direttamente, ogni azione passa attraverso un'interfaccia MCP controllata e registrata. |
| 🤖 **Pentest anche della tua AI** | Un agente LLM dedicato sonda gli endpoint di inferenza AI/LLM per l'OWASP LLM Top 10 con probe basati su garak. |
| ♾️ **CI/CD nativo** | Attiva un pentest nella pipeline e ricevi i finding come artefatti. |
| 🔌 **MCP** | Orchestra oltre 140 strumenti offensivi tramite MCP. |
| 🔧 **Correggi (Pro)** | Il livello Pro a pagamento trasforma i finding in pull request revisionate da esseri umani, ritestate contro l'exploit originale. |

Progettato per **team di sicurezza**, **ingegneri DevSecOps**, **red teamer** e professionisti dell'**ethical hacking**.

---

## 🧩 DarkMoon ovunque

<p align="center">
  <img src="https://raw.githubusercontent.com/ascit31/dark-moon/master/docs/pics/integrations.svg" alt="DarkMoon integrations: GitHub, GitLab, Jenkins, VS Code, JetBrains, n8n, Grafana, Splunk — Community + Pro" width="100%" />
</p>

Esegui DarkMoon dove già costruisci — in CI/CD, nel tuo IDE, nell'automazione e nel SecOps. Le integrazioni contrassegnate **OSS + Pro** funzionano con l'edizione open-source (CLI locale + JSON); quelle solo Pro consumano l'API REST di [DarkMoon Pro](#-darkmoon-pro--paid-edition-web-dashboard-and-automated-remediation) (dashboard live, remediation→PR).

| Piattaforma | Cosa fa | Ottienila | Edizione |
|---|---|---|---|
| **GitHub Actions** | Fa fallire la pipeline sui finding in base alla severità | [GitHub Marketplace](https://github.com/marketplace/actions/darkmoon-pentest) | OSS + Pro |
| **GitLab CI/CD** | Finding come report Code Quality + SAST | [CI/CD Catalog](https://gitlab.com/explore/catalog/Dark-Moon-X/darkmoon-scan) | OSS + Pro |
| **Jenkins** | Finding come issue Warnings-NG nella build | [Plugin `.hpi` (Releases)](https://github.com/ASCIT31/darkmoon-jenkins/releases) | OSS + Pro |
| **VS Code** | Sfoglia e avvia valutazioni dall'editor | [VS Code Marketplace](https://marketplace.visualstudio.com/items?itemName=Darkmoon.darkmoon-vscode) | OSS + Pro |
| **JetBrains** | Finding in una finestra degli strumenti dell'IDE | [JetBrains Marketplace](https://plugins.jetbrains.com/plugin/34497-darkmoon) | OSS + Pro |
| **n8n** | Automatizza campagne, retest e avvisi | [npm `n8n-nodes-darkmoon`](https://www.npmjs.com/package/n8n-nodes-darkmoon) | Pro |
| **Grafana** | Dashboard di postura di sicurezza | [Self-host (Releases)](https://github.com/ASCIT31/darkmoon-grafana/releases) | Pro |
| **Splunk** | Ingestione SOC (HEC) + azione di avviso "Send to Darkmoon" | [App (Releases)](https://github.com/ASCIT31/darkmoon-splunk/releases) — Splunkbase in attesa | OSS + Pro |
| **SDK / CLI** | Costruisci la tua integrazione sul contratto condiviso | [npm `@darkmoon_ai/client`](https://www.npmjs.com/package/@darkmoon_ai/client) | OSS + Pro |

Ogni integrazione emette **solo metadati sicuri** (severità, stato, MITRE, id) — mai evidenze, segreti o token. Guide complete su [docs.dark-moon.org](https://docs.dark-moon.org); sorgente sotto [ASCIT31](https://github.com/ASCIT31).

---

## 🔒 Darkmoon Pro — edizione a pagamento: dashboard web e remediation automatizzata

> 🔒 **Queste sono funzionalità di Darkmoon Pro (a pagamento).** L'edizione open source è la CLI mostrata sopra; la dashboard web e la remediation automatizzata in pull request non sono nella build open source.

Gli screenshot seguenti sono la dashboard web di **Darkmoon Pro a pagamento**. **Non** fanno parte del repository open source che cloni. L'edizione open source è lo strumento da riga di comando mostrato nella sezione precedente.

<table>
<tr>
<td width="50%" valign="top">
<img src="https://raw.githubusercontent.com/ascit31/dark-moon/master/docs/pics/dashboard.png" alt="Darkmoon Pro web dashboard showing projects, targets, campaigns and vulnerabilities by severity" />
<p align="center"><b>Pro: dashboard web live.</b> Progetti, target e campagne a colpo d'occhio, con ogni finding suddiviso per severità.</p>
</td>
<td width="50%" valign="top">
<img src="https://raw.githubusercontent.com/ascit31/dark-moon/master/docs/pics/vulnerability-1.png" alt="Darkmoon Pro finding detail with CVSS, MITRE ATT&CK and ISO 27001 mapping and EXPLOITED status" />
<p align="center"><b>Pro: finding con mappatura CVSS e ATT&CK.</b> Ogni finding porta con sé la mappatura CVSS, MITRE ATT&CK e ISO 27001 con uno stato <code>EXPLOITED</code> supportato da un exploit reale.</p>
</td>
</tr>
<tr>
<td width="50%" valign="top">
<img src="https://raw.githubusercontent.com/ascit31/dark-moon/master/docs/pics/markdown-report-1.png" alt="Darkmoon Pro structured web report with management summary, exportable to Markdown and PDF" />
<p align="center"><b>Pro: report web esportabili.</b> Un riepilogo gestionale in linguaggio semplice più dettagli tecnici completi, esportabile in Markdown e PDF.</p>
</td>
<td width="50%" valign="top">
<img src="https://raw.githubusercontent.com/ascit31/dark-moon/master/docs/pics/infra-map-2.png" alt="Darkmoon Pro interactive infrastructure map of the attack surface with per-node vulnerabilities" />
<p align="center"><b>Pro: mappa interattiva della superficie d'attacco.</b> Un grafo di nodi, connessioni e vulnerabilità per nodo su tutto il target.</p>
</td>
</tr>
<tr>
<td width="50%" valign="top">
<img src="https://raw.githubusercontent.com/ascit31/dark-moon/master/docs/pics/scheduler.png" alt="Darkmoon Pro campaign scheduler for recurring automated pentest campaigns with focus, severity and recurrence" />
<p align="center"><b>Pro: esecuzioni ricorrenti pianificate.</b> Campagne automatizzate ricorrenti con FOCUS, severità e ricorrenza integrate nella dashboard web.</p>
</td>
<td width="50%" valign="top">
<img src="https://raw.githubusercontent.com/ascit31/dark-moon/master/docs/pics/campaign.png" alt="Darkmoon Pro campaign view listing the 57 vulnerabilities with severity and status" />
<p align="center"><b>Pro: vista campagna.</b> Ogni vulnerabilità in una campagna con la sua severità e stato di conferma.</p>
</td>
</tr>
</table>

### 🔒 Pro: dal finding alla correzione (remediation automatizzata, a pagamento)

> 🔒 **Funzionalità Pro a pagamento.** Il motore open source trova e prova le vulnerabilità. La remediation automatizzata in pull request è disponibile solo in Darkmoon Pro.

Nel livello Pro a pagamento, ogni finding segue il flusso _finding → fix validato in sandbox → **pull request revisionata da esseri umani, ritestata contro l'exploit originale**_, e non viene mai unita automaticamente. Nella nostra esecuzione demo su OWASP Juice Shop, l'agente di remediation Pro **ha corretto i finding end-to-end con un retest dell'exploit live pulito** (una correzione conta solo quando l'exploit originale viene rieseguito e confermato chiuso). Vedi il [benchmark di remediation](https://dark-moon.org/remediation-benchmark/), la [documentazione dell'agente di remediation](https://github.com/ascit31/dark-moon/blob/master/docs/remediation-agent.md) e le [57 PR aperte su ASCIT31/juice-shop](https://github.com/ASCIT31/juice-shop/pulls).

<div align="center">

<a href="https://youtu.be/1bFRVuMkZzY?si=peKxwuxzbXBnb2zO">
  <img src="https://assets.kitploit.com/production/public/readmes/42241/95a4689eb8c0d2931c09f243615e0a57071b7d7698d88e2d0c6477a477b2d6c5.png" alt="Watch the demo of the Darkmoon Pro web dashboard running a full autonomous penetration test" width="70%" />
</a>

**▶️ Guarda la demo (mostra la dashboard web di Darkmoon Pro)**

</div>

---

## Cos'è DarkMoon?

DarkMoon è una piattaforma **open-source di AI penetration testing**. Puntala verso un target che sei autorizzato a testare, ed esegue l'intera valutazione da sola: ragiona, pianifica e invia **50 agenti specializzati** che eseguono reali operazioni offensive attraverso un livello MCP controllato, poi riporta ogni vulnerabilità con il comando esatto, l'output grezzo e la prova a supporto.

Non sostituisce il pentester. Elimina la parte ripetitiva di una valutazione con evidenze, così i tuoi esperti dedicano il loro tempo al giudizio, non alla fatica.

---

## 📊 Benchmark: 57 vulnerabilità reali su OWASP Juice Shop

Esecuzione **black-box** reale e riproducibile contro OWASP Juice Shop con un **modello frontier cloud (Anthropic Claude)**. DarkMoon funziona anche **completamente in locale** (Ollama / llama.cpp) dietro il Privacy Gateway — così nulla lascia la tua infrastruttura; la copertura con modelli locali dipende dal modello che esegui.

| Metrica | Risultato |
|---|---|
| Vulnerabilità trovate | **57** (8 critiche / 24 alte / 21 medie / 4 basse) |
| Tempo effettivo | **28,5 min** |
| Proof-of-exploitation | comando + output grezzo per ogni finding |
| LLM | Anthropic Claude (frontier cloud); modelli locali supportati |

Riproducilo e confronta gli strumenti tu stesso: **[ASCIT31/Darkmoon-Benchmarks](https://github.com/ASCIT31/Darkmoon-Benchmarks)**.

## 🆚 Confronto di DarkMoon

| | **DarkMoon** | strix | shannon | PentAGI |
|---|:--:|:--:|:--:|:--:|
| Funziona su **LLM locale** (i dati non escono mai) | ✅ | ❌ cloud | ❌ cloud | parziale |
| Privacy Gateway (tokenizzazione locale) | ✅ | ❌ | ❌ | ❌ |
| Active Directory + Kubernetes | ✅ | ❌ | ❌ | parziale |
| Proof-of-exploitation | ✅ | ✅ | ✅ | ✅ |
| Open source | ✅ GPL-3.0 | ✅ | ✅ | ✅ |

*Compilato da repo/documentazione pubblici (2026-08); correzioni benvenute via PR.*

---

## Come funziona

DarkMoon opera come orchestratore strategico di **AI security agent** allineato alle metodologie ISO 27001, NIST SP 800-115 e MITRE ATT&CK.

Quando fornisci un target, la piattaforma automaticamente:

1. 🔍 **Scopre** l'ambiente target (porte, servizi, protocolli)
2. 🧠 **Identifica** lo stack tecnologico (framework, CMS, API)
3. 🎯 **Modella** la superficie d'attacco
4. 🚀 **Distribuisce** sotto-agenti specializzati in base alle tecnologie rilevate
5. 🔬 **Esegue** un ciclo di **scansione intelligente delle vulnerabilità** con adattamento reattivo
6. ✅ **Convalida** i finding con evidenze (richieste, payload, risposte)
7. 📝 **Genera** un report di audit strutturato

### Orchestrazione dei sotto-agenti

DarkMoon seleziona e invia dinamicamente agenti specializzati in base alle tecnologie scoperte:

| Tecnologia rilevata | Agente attivato |
|---|---|
| WordPress, Drupal, Joomla, Magento, PrestaShop, Moodle | Agente specifico per CMS |
| PHP, Node.js, Flask, ASP.NET, Spring Boot, Ruby on Rails, Go | Agente specifico per stack |
| GraphQL | Agente GraphQL |
| Endpoint di inferenza LLM / AI (compatibile OpenAI, Ollama, vLLM, TGI) | Agente LLM |
| Active Directory | Agente AD |
| Kubernetes | Agente Kubernetes |
| AWS, Azure, GCP | Agente cloud-provider |
| Entra ID (identità Microsoft) | Agente identità |
| GitHub, GitLab, Jenkins | Agente SCM & CI/CD |
| Terraform, Ansible | Agente Infrastructure-as-Code |
| Docker, registry di container | Agente container |
| HashiCorp Vault | Agente secrets |
| PostgreSQL, MySQL, MSSQL, Oracle | Agente database |
| Redis, RabbitMQ, Kafka, MQTT | Agente messaging & cache |
| Immagini firmware / IoT | Agente firmware |
| Browser headless richiesto | Agente browser headless |

Più agenti possono essere eseguiti **in parallelo** su architetture ibride.

I piani che richiedono credenziali per essere significativi (account cloud, CI/CD, secret store, database, Active Directory, Kubernetes) **non vengono mai inviati per inferenza**. Si attivano solo quando viene trovato un artefatto concreto (una chiave, un token, un endpoint di metadati raggiungibile) o quando li autorizzi esplicitamente, e altrimenti vengono segnalati nel report.

> **Nota:** Per l'elenco completo degli agenti, la loro struttura, il ciclo di vita e come creare agenti personalizzati, vedi [Documentazione Completa, AI Agents](https://github.com/ascit31/dark-moon/blob/master/docs/full.md#v-ai-agents).

### Panoramica dell'architettura```
User ──> DarkmoonCLI ──> OpenCode (AI Brain) ──> MCP (Security Gatekeeper) ──> Docker Toolbox (Real Tools)

# Avvia il server MCP con impostazioni predefinite
mcp-server

# Avvia il server MCP con porta e host personalizzati
mcp-server --port 9090 --host 0.0.0.0

# Abilita output dettagliato e di debug
mcp-server --verbose --debug

# Specifica un file di log personalizzato
mcp-server --log /var/log/mcp-server.log

# Connettiti a un server MCP remoto
mcp-server --server http://remote-server:8080 --token your-token --client your-client-id

{
  "mcpServers": {
    "mcp-server": {
      "command": "mcp-server",
      "args": ["--port", "8080", "--host", "localhost"]
    }
  }
}

{
  "mcpServers": {
    "mcp-server": {
      "command": "mcp-server",
      "args": ["--port", "8080", "--host", "localhost"]
    }
  }
}

{
  "mcpServers": {
    "mcp-server": {
      "command": "mcp-server",
      "args": ["--port", "8080", "--host", "localhost"]
    }
  }
}

# Clona il repository
git clone https://github.com/yourusername/mcp-server.git
cd mcp-server

# Compila il binario
go build -o mcp-server

# Esegui il binario
./mcp-server

# Esegui tutti i test
go test ./...

# Esegui i test con copertura
go test -cover ./...

# Esegui i test con output dettagliato
go test -v ./...

# Compila per Linux
GOOS=linux GOARCH=amd64 go build -o mcp-server-linux-amd64

# Compila per macOS
GOOS=darwin GOARCH=amd64 go build -o mcp-server-darwin-amd64

# Compila per Windows
GOOS=windows GOARCH=amd64 go build -o mcp-server-windows-amd64.exe

L'IA ragiona e pianifica. L'MCP controlla ciò che può essere eseguito. La Toolbox esegue strumenti isolati all'interno di Docker. **L'IA non tocca mai direttamente il sistema**, questa è **sicurezza by design**.

> **Nota:** Per l'analisi completa dell'architettura (diagrammi di deployment, flussi di rete, confini di sicurezza), consulta [Documentazione completa, Architettura](https://github.com/ascit31/dark-moon/blob/master/docs/full.md#iv-architecture).

---

## Definizione dello Scope

DarkMoon supporta una definizione flessibile dello scope direttamente dalla riga di comando.

**Pentest rapido (zero config):**```bash
./darkmoon.sh "TARGET: http://172.19.0.3:3000"

I flag principali includono `FOCUS`, `EXCLUDE`, `CREDS`, `TOKEN`, `NOISE`, `SEVERITY`, `FORMAT` e altri, tutti interpretati naturalmente dall'IA.

> **Nota:** Per il riferimento completo dei flag, i tipi di asset, la sintassi libera di EXCLUDE/FOCUS e lo scoping avanzato multi-target, consulta [Documentazione Completa, Definizione dello Scope](https://github.com/ascit31/dark-moon/blob/master/docs/full.md#ii7c-launch-darkmoon-with-tui-console).

---

## Toolbox Integrato

DarkMoon viene distribuito con un'immagine Docker appositamente creata che contiene **oltre 140 strumenti di sicurezza** compilati e ottimizzati in una build multi-stage:

| Categoria | Strumenti (esempi) |
|---|---|
| Scansione porte | Naabu (discovery), nmap (sonde di servizio mirate) |
| Scansione web | Nuclei, ffuf, dirb, sqlmap, Arjun, wafw00f |
| Recon & crawling | Subfinder, Katana, Waybackurls, httpx |
| CMS | WPScan, CMSeeK, WhatWeb |
| Active Directory | NetExec, BloodHound, Impacket (oltre 30 script) |
| Kubernetes | kubectl, Kubescape, Kubeletctl, kube-bench, rbac-police |
| CLI cloud | aws, az, gcloud, gsutil, bq |
| Database & cache | psql, mysql, redis-cli, sqlite3 |
| Firmware / IoT | binwalk, unsquashfs, sasquatch, firmwalker |
| Cracking | hashcat, john, 7z2john |
| Rete | Hydra, curl, dig, strumenti SNMP |
| Browser | Lightpanda (headless) |

Tutti gli strumenti sono direttamente accessibili, senza necessità di configurare i percorsi.

> **Nota:** Per l'elenco completo degli strumenti con i dettagli di installazione e come aggiungere nuovi strumenti, consulta [Documentazione Completa, Toolbox](https://github.com/ascit31/dark-moon/blob/master/docs/full.md#vi-toolbox).

---

## 📖 Guida alla Documentazione

La [Documentazione Completa](https://github.com/ascit31/dark-moon/blob/master/docs/full.md) di DarkMoon copre tutto ciò che serve per utilizzare la piattaforma. Ecco un riferimento rapido alle sezioni più importanti:

| Argomento | Cosa Troverai | Link |
|---|---|---|
| **Configurazione GPU & Driver** | Risoluzione dei problemi NVIDIA per Docker, WSL e Linux nativo | [Guida GPU](https://github.com/ascit31/dark-moon/blob/master/docs/full.md#ii2--darkmoon--gpu-troubleshooting-guide-official) |
| **Variabili d'Ambiente** | Configurazione del provider LLM, chiavi API, selezione del modello | [Configurazione Ambiente](https://github.com/ascit31/dark-moon/blob/master/docs/full.md#ii3-configuration-of-environment-variables-in-docker-compose) |
| **Avvio & Build** | Comportamento di install.sh, docker compose build, gestione dello stack | [Build & Avvio](https://github.com/ascit31/dark-moon/blob/master/docs/full.md#ii6-build-and-launch-darkmoon) |
| **Scope & Flag** | Sintassi TARGET, modalità bug bounty, FOCUS/EXCLUDE, credenziali | [Definizione dello Scope](https://github.com/ascit31/dark-moon/blob/master/docs/full.md#ii7c-launch-darkmoon-with-tui-console) |
| **Flusso di Assessment** | Passo dopo passo: discovery, fingerprinting, agenti, reporting | [Motore di Assessment](https://github.com/ascit31/dark-moon/blob/master/docs/full.md#ii7d-how-to-use-the-darkmoon-assessment-engine) |
| **Log di Sessione in Tempo Reale** | Monitora in diretta i comandi eseguiti dal server MCP | [Log di Sessione](https://github.com/ascit31/dark-moon/blob/master/docs/full.md#ii7e-step-1--start-an-assessment) |
| **Agenti IA** | Struttura degli agenti, ciclo di vita, come creare o modificare agenti | [Agenti IA](https://github.com/ascit31/dark-moon/blob/master/docs/full.md#v-ai-agents) |
| **Architettura** | Diagrammi di deployment, confini di sicurezza, flusso di esecuzione | [Architettura](https://github.com/ascit31/dark-moon/blob/master/docs/full.md#iv-architecture) |
| **Toolbox** | Elenco completo degli strumenti, aggiunta di strumenti, interni dell'immagine Docker | [Toolbox](https://github.com/ascit31/dark-moon/blob/master/docs/full.md#vi-toolbox) |
| **Workflow MCP** | Struttura dei workflow, creazione di workflow personalizzati, best practice | [Workflow MCP](https://github.com/ascit31/dark-moon/blob/master/docs/full.md#vii-mcp-workflows) |
| **Elenco Strumenti Disponibili** | Tabella completa dei 142 strumenti di sicurezza con percorsi e fonti | [Elenco Strumenti](https://github.com/ascit31/dark-moon/blob/master/docs/full.md#vi10-toolbox-list) |
| **Laboratori di Formazione** | Laboratori vulnerabili consigliati per addestrare DarkMoon | [Laboratori Pentester](https://github.com/ascit31/dark-moon/blob/master/docs/full.md#vi11-bonus-pentester-lab-to-train-darkmoon) |
| **Agente di Remediation** (Pro) | Risultati → fix validato in sandbox → pull request per revisione umana (mai unita) | [Agente di Remediation](https://github.com/ascit31/dark-moon/blob/master/docs/remediation-agent.md) |
| **n8n (Pro)** | Nodo della community per avviare un pentest, recuperare i risultati e revisionare le PR di fix da un workflow n8n | [Nodo n8n](https://github.com/ascit31/dark-moon/blob/master/docs/n8n-integration.md) |

---

## Casi d'Uso

DarkMoon è progettato come una versatile **piattaforma di security testing** per:

- 🔒 **Team di sicurezza**, esegui **penetration testing automatizzato** continuo su tutta la tua infrastruttura
- ⚙️ **Pipeline DevSecOps**, integra la **ricerca di sicurezza guidata dall'IA** nei flussi CI/CD
- 🎯 **Bug bounty hunter**, accelera l'**ethical hacking** con l'analisi autonoma dei target
- 🔬 **Ricercatori di sicurezza**, esplora le superfici di attacco con una **piattaforma di cybersecurity IA** che si adatta in tempo reale
- 🎓 **Formazione & istruzione**, impara la sicurezza offensiva con assessment guidati e riproducibili

---

## Prompt di Esempio```bash
# Web application pentest
./darkmoon.sh "TARGET: http://172.19.0.3:3000"

# Active Directory assessment
./darkmoon.sh "TARGET: 192.168.1.10"

# Bug bounty with specific focus
./darkmoon.sh "TARGET: https://app.example.com PROGRAM=\"Example BB\" FOCUS=sqli,rce,ssrf EXCLUDE=H1 FORMAT=h1"