IDE di penetration testing nativo per l'AI in cui gli operatori e un agente AI condividono browser, terminali, cattura del traffico, shell, grafo degli asset, attività e prove in un unico workspace di progetto.
Un IDE di penetration testing nativo per l'AI in cui operatori umani e AI condividono lo stesso browser, terminali, traffico, grafo degli asset, attività, evidenze e controlli.
[!WARNING] Hexestra è destinato esclusivamente a test di sicurezza autorizzati. Non usarlo mai contro sistemi che non possiedi o per i quali non hai esplicita autorizzazione a effettuare valutazioni.
Hexestra riunisce le parti frammentate di un penetration test in un unico progetto. Le etichette di Scope forniscono all'Agent un contesto semantico sugli asset, mentre l'operatore può ispezionare, guidare, approvare, interrompere o subentrare in qualsiasi momento.
Questi screenshot utilizzano il fittizio Northstar Demo Lab, domini riservati example.test, indirizzi IP solo documentali, identità sintetiche ed evidenze sintetiche.
Il workspace condiviso mantiene l'albero delle attività, il report, l'attività dell'Agent, l'asset attivo e la NetMap a 17 nodi in un'unica superficie controllabile.
Gli asset target sono visualizzati a sinistra, con gli asset correlati e i dettagli mostrati sotto in NetMap.
L'evidenza conserva l'output grezzo e lo collega al Finding e alla Vulnerabilità validata.
Una Vulnerabilità validata mantiene insieme severità, ciclo di vita, impatto, remediation e contesto collegato.
Usa il browser integrato per accedere ai target; abilita la cattura a sinistra per registrare il traffico, con supporto per intercettazione e replay.
Esegui questi comandi nell'ambiente Native o WSL selezionato in Settings > Connection:
npm install -g @anthropic-ai/claude-code
claude --version
Per usare un account Anthropic:
claude auth login
claude auth status
Imposta le variabili del provider nello stesso terminale che avvierà Hexestra. Esempio DeepSeek dalla sua guida ufficiale all'integrazione con Claude Code:
Linux e macOS:
export ANTHROPIC_BASE_URL=https://api.deepseek.com/anthropic
export ANTHROPIC_AUTH_TOKEN="YOUR_DEEPSEEK_API_KEY"
export ANTHROPIC_MODEL='deepseek-v4-pro[1m]'
export ANTHROPIC_DEFAULT_OPUS_MODEL='deepseek-v4-pro[1m]'
export ANTHROPIC_DEFAULT_SONNET_MODEL='deepseek-v4-pro[1m]'
export ANTHROPIC_DEFAULT_HAIKU_MODEL=deepseek-v4-flash
export CLAUDE_CODE_SUBAGENT_MODEL=deepseek-v4-flash
export CLAUDE_CODE_EFFORT_LEVEL=max
Windows PowerShell:
$env:ANTHROPIC_BASE_URL="https://api.deepseek.com/anthropic"
$env:ANTHROPIC_AUTH_TOKEN="YOUR_DEEPSEEK_API_KEY"
$env:ANTHROPIC_MODEL="deepseek-v4-pro[1m]"
$env:ANTHROPIC_DEFAULT_OPUS_MODEL="deepseek-v4-pro[1m]"
$env:ANTHROPIC_DEFAULT_SONNET_MODEL="deepseek-v4-pro[1m]"
$env:ANTHROPIC_DEFAULT_HAIKU_MODEL="deepseek-v4-flash"
$env:CLAUDE_CODE_SUBAGENT_MODEL="deepseek-v4-flash"
$env:CLAUDE_CODE_EFFORT_LEVEL="max"
Sostituisci endpoint, token e nomi dei modelli per un altro provider compatibile con Anthropic. Non committare mai una chiave API.
Esegui questi comandi nella root del progetto Hexestra:
npm ci
npm run electron:dev
Quando esegui Hexestra da sorgente, installa mitmproxy e verifica che
mitmdump sia disponibile:
uv tool install mitmproxy
mitmdump --version
Le build pacchettizzate includono un runtime mitmdump, quindi Traffic Capture funziona senza un'installazione separata di mitmproxy.
Scarica Mihomo dalle release upstream, poi seleziona il suo eseguibile in Settings > Proxy. La v1.19.29 è la versione di riferimento testata e consigliata, ma Hexestra non impone una versione esatta: un binario eseguibile viene accettato e la compatibilità è determinata dalla validazione della configurazione e dall'avvio del Controller. Mihomo è un runtime esterno GPLv3 fornito dall'utente; Hexestra non lo scarica né lo ridistribuisce.
L'applicazione del proxy è isolata al progetto attivo: non viene abilitato alcun TUN o proxy di sistema. Browser, Traffic/Replay, connessioni SSH esterne o jump-host e richieste WebShell usano la rotta gestita. I terminali locali e WSL ricevono HTTP_PROXY, HTTPS_PROXY, ALL_PROXY, NO_PROXY e WSLENV; i programmi che ignorano queste variabili e aprono socket grezzi possono aggirare il confine del terminale. Il traffico verso l'API di Claude e l'egress secondario creato da comandi su una shell remota sono fuori dalla v1.
Quando l'applicazione è attiva, un nodo mancante, una catena non valida, un runtime fermo/crash o un reload fallito bloccano l'egress gestito invece di ricadere su una connessione diretta. Esegui il vero smoke test di accettazione a due hop con:
HEXESTRA_MIHOMO_PATH=/path/to/mihomo npm run test:proxy-smoke
L'integrazione con Burp è opzionale. Hexestra cattura il traffico tramite mitmproxy e rispecchia gli scambi completati verso Burp attraverso un Bridge loopback autenticato; Burp non viene inserito silenziosamente nel percorso di rete live del browser.
Compila il Bridge su Windows, Linux o macOS con JDK 17:
npm run build:burp-bridge
resources/burp-bridge/hexestra-burp-bridge.jar.Gli scambi rispecchiati appaiono in Target > Site map e, quando supportato, in Organizer. L'API pubblica delle estensioni di Burp non può creare voci sintetiche in Proxy > HTTP history.
npm run electron:build
npm run audit:public
npm run check
Usa Hexestra solo con esplicita autorizzazione e uno Scope di progetto accurato. Azioni distruttive, di disturbo o che impattano la privacy richiedono un'approvazione adeguata, e le evidenze o i report esportati dovrebbero essere trattati come dati sensibili. Le etichette di Scope guidano la prioritizzazione dell'Agent ma non bloccano comandi o traffico; ASK, AUTO e BYPASS modificano il comportamento di approvazione, mentre le Rules of Engagement e i confini di sicurezza tecnica restano applicati. Hexestra non sostituisce il giudizio professionale o la responsabilità.
Vedi la guida al contributo e il changelog.
Hexestra è distribuito sotto la Apache License 2.0. I componenti di terze parti restano soggetti alle proprie licenze e condizioni.