Red Clippy

I tuoi test con l'agente. Red Clippy conserva il registro.

Gestione del pentest open-source progettata per essere operata da un agente AI. Collegala a Claude Code tramite MCP e gestisce l'engagement al tuo fianco: scope e asset, osservazioni di recon, copertura della metodologia e finding con CVSS ed evidenze.

Pensata per i tester che vogliono la velocità di un agente senza rinunciare alla disciplina di un vero engagement. Il lavoro non viene ripetuto, i finding non svaniscono tra una sessione e l'altra, e nulla arriva al report che non sia stato dimostrato.

Un engagement in Red Clippy: avanzamento della copertura, finding per severità, fasi in sospeso, finding recenti e lo scope dalla lettera di incarico

Documentazione completa: https://cspf-founder.github.io/red-clippy/

Perché

Gli agenti di coding sono diventati tester davvero utili. Hanno una shell, eseguono gli stessi strumenti che usi tu e coprono terreno in fretta. Puntane uno su un target e troverà qualcosa.

Poi la finestra di contesto si riempie, e l'engagement è perso. La sessione successiva riesegue la scansione di host già ripuliti, ritesta ciò che era già stato escluso e non sa dirti quali parti dello scope siano mai state toccate. Da qualche parte nella trascrizione c'è una SQL injection confermata che nessuno ha annotato.

Red Clippy risolve il problema dando all'agente due cose che non ha da solo.

Un posto dove mettere il lavoro. Ogni asset, osservazione, check e finding finisce in un database mentre il test procede, non in un buffer di scrollback. La copertura diventa una query invece di un ricordo: quali asset esistono, quali check sono stati superati su ciascuno, cosa è già stato riportato. La sessione di domani riprende esattamente da dove si è fermata l'ultima.

Regole da seguire. Un documento Red Team Instructions raggiunge l'agente nella handshake MCP, prima che faccia qualsiasi cosa: verifica prima di riportare, dimostra ogni affermazione, ottieni l'accesso minimo necessario per dimostrare l'impatto, lascia in pace i sistemi di terze parti. Sovrascrivilo per organizzazione e per engagement, perché le regole interne differiscono tra team e clienti.

Resti nel loop per tutto il tempo. Tutto ciò che l'agente scrive è una riga ordinaria nella web UI che puoi rivedere, correggere, riclassificare o scartare.

[!CAUTION] Solo test autorizzati. Red Clippy è per penetration tester che lavorano nell'ambito di un engagement. Testa solo sistemi che possiedi o per cui hai esplicito permesso scritto di valutare. La marcatura dello scope e le Red Team Instructions esistono per mantenere un agente entro le regole di ingaggio, ma sono guardrail, non autorizzazione. Un agente agisce sotto la tua autorità, e tu resti responsabile di tutto ciò che fa.

Avvio rapido

Scarica un binario dalla ultima release ed eseguilo. Configura il database e serve il pannello su 127.0.0.1:7337.

Linux

tar xzf red-clippy-*-x86_64-unknown-linux-musl.tar.gz
cd red-clippy-*-x86_64-unknown-linux-musl
./red-clippy serve

Windows

Decomprimi l'archivio, poi da quella cartella:

.\red-clippy.exe serve

Apri http://127.0.0.1:7337 e la procedura guidata di configurazione prende il sopravvento da lì.

Il database viene creato nella directory in cui esegui il binario. Anche le prove caricate sono archiviate lì, in red-clippy-storage. Entrambi i percorsi possono essere modificati nel file di configurazione, vedi Configurazione.

Preferisci compilarlo da solo? Vedi Compilazione dai sorgenti.

Come sono organizzati i dati

Red Clippy raggruppa il lavoro in organizzazioni. Un'organizzazione contiene i tuoi pentest, e ogni pentest contiene gli asset, i risultati e le prove per quell' incarico. Se esegui test per una sola azienda, ti basta una singola organizzazione. Se consulenza per più clienti, assegna a ciascun cliente la propria: un' organizzazione non vede nulla che appartenga a un'altra, quindi i loro incarichi non si mescolano mai.

Un'organizzazione ha due nomi. Il nome visualizzato ("XYZ Example Corp") è ciò che vedi nel pannello e può essere modificato in seguito. Lo slug (xyz) è un breve identificatore in minuscolo usato nella cartella delle prove su disco (red-clippy-storage/org_xyz/pentest_PT-2026-08-27/), quindi è fisso una volta impostato.

Puoi appartenere a più organizzazioni e passare dall'una all'altra dal menu dell'avatar. In ciascuna sei un owner, che può aggiungere e rimuovere persone e rinominare o eliminare l'organizzazione, oppure un member, che gestisce gli incarichi.

Prima esecuzione

Al primo avvio il database è vuoto, quindi il browser mostra una procedura guidata di configurazione anziché un modulo di accesso. Richiede:

uno slug e un nome visualizzato per la tua prima organizzazione
un nome utente e, facoltativamente, un'email
una password (minimo 8 caratteri)

L'account che crea è l'owner di quell'organizzazione. La procedura guidata appare solo finché il database non ha utenti; una volta che esiste il primo account viene disabilitata in modo permanente, quindi non può essere usata per creare account aggiuntivi in seguito.

Dopo la configurazione, gestisci organizzazioni e colleghi nell'app sotto menu avatar > Organizzazioni.

Se nessuno riesce ad accedere, la CLI è la via di ritorno:

red-clippy reset-password --username alice --password 'new-one'

Come usarlo

Il flusso previsto è guidato dall'agente. Si configura l'engagement, poi si lavora sul target con Claude Code mentre questo tiene il registro.

Configurazione a cura dell'utente:

Crea un pentest. Codice, scope, date. La checklist della metodologia viene popolata automaticamente.
Definisci lo scope. Aggiungi i domini, gli host e gli intervalli IP che sei autorizzato a testare, e contrassegna tutto ciò che è esplicitamente fuori scope. Puoi inserirli manualmente, oppure incollare all'agente la lista di scope del cliente e farglieli inserire per te.
Collega l'agente tramite MCP, vincolato a questo engagement (vedi sotto).

L'agente poi lavora e registra man mano:

Esegue strumenti di recon e testing dalla propria shell, come farebbe normalmente.
Consegna l'output grezzo degli scanner tramite ingest_tool_output, oppure scrive direttamente asset e osservazioni.
Promuove a asset le unità di scope reali, lasciando il resto come osservazioni.
Contrassegna i controlli della metodologia man mano che li completa.
Registra i finding con CVSS, PoC ed evidenze allegate.

Supervisione a cura dell'utente:

Osserva i risultati comparire nel browser in tempo reale.
Correggi qualsiasi cosa: ogni riga scritta dall'agente è un record ordinario che puoi modificare, riclassificare o eliminare.
Controlla la vista di copertura per ciò che è ancora intatto.
Rivedi nella dashboard cross-engagement, che mostra ogni finding dell'organizzazione insieme al pentest da cui proviene.

red-clippy

Più Popolari