mulot

Pentester web AI agentico che guida un browser.

Un LLM a pesi aperti (GLM-5.2, Gemma o Qwen) guida un Chromium headless reale tramite un toolkit in stile Burp e lavora su un target come farebbe un pentester umano.

Nessun modello frontier, nessun agente in esecuzione all'interno di una VM Kali.

_{ricognizione → scrive il proprio payload JavaScript → injection di comandi → flag.}

Usando solo questo harness, gli agenti GLM-5.2 a pesi aperti hanno risolto l'87% di OverTheWire Natas e il 73% di Root-Me Web-Server (tabelle complete sotto).

• Browser reale, non solo HTTP: flussi di login reali, app pesanti in JS e XSS basato su DOM.
• Primitive in stile Burp: cronologia del traffico, repeater, intruder, scansione passiva.
• Nessuna API frontier, nessun agente in una VM: Qwen 3.6 27B è utilizzabile; GLM-5.2 è il punto ottimale.

L'idea

Un agente non è solo un modello, gli strumenti spesso contano più del numero di parametri.

I modelli hanno letto la letteratura sulla sicurezza, proxy di intercettazione, cronologia delle richieste, mappe del sito, fuzzing di un punto di inserimento. Burp, ZAP, mitmproxy, Fiddler: il loro vocabolario e i loro gesti esistono nel corpus su cui il modello è stato addestrato.

Quindi mulot modella l'harness per esporre esattamente quelle primitive.

Due metà

mulot si divide in due: un proxy che cattura e riproduce ogni scambio, e un livello di pensiero che esegue il codice dell'agente all'interno della pagina target.

La metà proxy

• Registro del traffico (History): ogni scambio HTTP finisce in un database SQLite sempre attivo, interrogabile e riproducibile. La cattura avviene tramite il protocollo CDP del browser, quindi l'HTTPS viene letto già decifrato: nessun certificato di intercettazione, nessun vero MITM.

• Editor di richieste (Interceptor/Repeater): ricostruire una richiesta da un URL o riprenderne una da un flusso catturato, manometterla e reinviarla, al di fuori delle regole CORS del browser.

• Fuzzing HTTP (Intruder): un punto di inserimento contrassegnato, un set di payload scambiato a turno e condizioni di corrispondenza su stato, lunghezza o regex.

• Scansioni (Passive scan): passaggi passivi e attivi sullo stesso registro e sul DOM live.

La metà di pensiero

• JavaScript in-page: una toolbox JS eseguita all'interno della pagina, non sull'host. L'agente automatizza dall'interno, la macchina che lo esegue resta fuori portata. Inietta librerie JS helper nel contesto DOM e crea i propri strumenti JavaScript per attacchi padding-oracle, SQLi temporale, deserializzazione...

• Skill e wordlist incorporate: playbook e wordlist inclusi nel binario, serviti su richiesta per tag. Le skill vengono scelte dopo il fingerprinting del target, le wordlist, per natura grandi, non attraversano mai la finestra di contesto: vengono consumate lato server o iterate in-page.

Skill: playbook incorporati, selezione dinamica

I playbook risiedono nel binario (go:embed su assets/skills/) e vengono serviti da due strumenti:

• list_skills enumera gli stack disponibili (php, python, java, nodejs, ...).
• load_skill restituisce il workflow condiviso senza argomenti, o il playbook personalizzato di uno stack quando lo si nomina (load_skill(["python"])).

Il flusso: il modello riceve il workflow condiviso in anticipo (così conosce le sue capacità prima di conoscere il target), esegue il fingerprint del target, poi carica lo stack corrispondente. I target poliglotti vanno bene; chiamalo di nuovo man mano che emergono altri stack. Aggiungere uno stack significa creare una directory assets/skills/<name>/ e ricompilare.

Avvio rapido

go build -o mulot ./cmd/mulot        # build the MCP server binary

# local llama.cpp
python3 agent.py  --provider llamacpp --model qwen3.6-mtp --base http://localhost:8080 \
  "pwn this server http://localhost:4280/login.php and output only id and uname -a command"

# zai token
export ZAI_API_KEY=...        
python3 agent.py --provider zai --model glm-5.2 "audit http://localhost:8000"

agent.py è un piccolo harness in un unico file che guida mulot tramite stdio MCP e parla con qualsiasi endpoint compatibile con OpenAI con chiamate a strumenti. Preimpostazioni: openrouter, llamacpp, zai. Il provider viene rilevato automaticamente in base alla chiave API presente nell'ambiente.

Variabili d'ambiente:

Risultati

Eseguendo agenti GLM-5.2 a pesi aperti contro sfide di penetration test web usando solo questo harness (max 120 passi) ha prodotto risultati solidi:

OverTheWire (Natas): 87% risolti

Root-Me (Web-Server): 73% risolti

Molti insuccessi sono derivati dagli strumenti sandbox di mulot che non potevano essere riscritti in puro JavaScript in-page (serializzazione di oggetti specifici, vincere condizioni di race, alcune operazioni crittografiche, cracking, brute force, canali fuori banda).

Esempi di catena di pensiero

Uso responsabile

mulot è uno strumento di sicurezza offensivo per test autorizzati solo: sistemi di tua proprietà, incarichi per cui hai un'autorizzazione scritta e laboratori deliberatamente vulnerabili come OverTheWire, Root-Me o DVWA. Esegue attacchi reali contro qualsiasi target gli venga indicato, quindi puntarlo verso un sistema che non possiedi o per il quale non sei esplicitamente autorizzato a testare è probabilmente illegale e non è un caso d'uso supportato. Sei responsabile di rimanere entro i limiti e nella legalità. Rilasciato sotto licenza Apache-2.0, senza garanzia.