Custom AI Agent

Burp Suiteと最新のAIをつなぐ架け橋。

名称に関する注記: この拡張機能はCustom AI Agent（旧称Burp AI Agent）として公開されています。PortSwiggerのBApp Storeの命名要件に準拠し、Burp Suiteに組み込まれているBurp AIプロバイダーとの混同を避けるため、名称が変更されました。GitHubリポジトリ（github.com/six2dez/burp-ai-agent）、ドキュメントサイト（burp-ai-agent.six2dez.com）、および設定ディレクトリ（~/.burp-ai-agent/）は、継続性のためにburp-ai-agentという識別子を維持しています。

Custom AI Agent Screenshot

Custom AI Agentは、AIをセキュリティワークフローに統合するBurp Suite用の拡張機能です。ローカルモデルまたはクラウドプロバイダーを利用し、MCP経由で外部AIエージェントに接続し、パッシブ/アクティブスキャナーに脆弱性を発見させながら、手動テストに集中できます。

[!IMPORTANT] 1.0.0以前を実行している場合は、セキュリティアドバイザリを読み、最新リリースの1.1.0にアップグレードしてください。 監査ログを有効にして書き込まれた監査ファイルには、MCPトークンと完全なプロンプトが含まれている可能性があり、右クリックの「AIに送信」コンテキストはプライバシーモードをバイパスする可能性がありました。どちらのアドバイザリにも、ローテーションすべき認証情報が記載されています。いずれについてもCVEまたはGHSA識別子は発行されていません。

v1.1.0の新機能

BApp Storeへの再申請に向けて、1つのリポジトリから2つのビルドを用意しました。詳細は CHANGELOG.mdをご覧ください。

2つのビルド。 BApp Storeビルド（./gradlew bappJar）には、8つの拡張機能ネイティブMCPツール、 Burp AI、および6つのHTTPバックエンドが含まれます。GitHubフルビルド（./gradlew fullJar）には、59のMCP ツールすべて、5つのCLIバックエンド、外部MCPクライアント、およびオプトインの自動キューが含まれます。どちらも Releasesにあり、それぞれ.sha256が付属しています。一度に 1つだけをロードしてください。Which Build? で比較できます。
BApp StoreビルドのAIゲート。 BApp StoreビルドはBurp CommunityとBurp Professionalで動作します。AIリクエストを送信するのは、拡張機能に対してBurpの「Use AI」設定が有効になっている間のみで、無効の場合はロードされ、すべてのAIリクエストを拒否します。
パッシブスキャンはターゲットに何も送信しません。 AI Active Scannerがテストできるパッシブ検出結果は、両方のビルドでキューダイアログに推奨ターゲットとして一覧表示され、手動でキューに追加します。確認する前にターゲットへ何かが送信されることはありません。
クリーンなアンロード。 アンロードすると、拡張機能のスレッド、タイマー、MCPリスナーは一切実行されず、 AIプロバイダーへの新規リクエストも開始されません。
イシューの詳細はHTMLエンコードされます。 ペイロード、ターゲットから取得した値、AIのテキストは、 Burpのイシュービューおよびレポートでリテラルテキストとして表示されます。
AIスキャナーはロードのたびにOFFで起動します（両方のビルド）。1つをオンにすると、Burpが拡張機能をアンロードするまで有効です。

v1.0.1の新機能

1.0.0に対する正確性とプライバシーのホットフィックスです。詳細はCHANGELOG.mdおよび SECURITY.mdをご覧ください。

非ASCIIプロンプトがすべてのHTTPバックエンドで動作します（#84、#85、#86、#88）。リクエストボディは UTF-8バイトとして送信されます。以前は非ASCII文字が破損し、ターゲットのテキストがリクエストのJSON 構造を変更する可能性がありました。
プライバシー: 右クリックコンテキスト、スキャナー設定、監査ログ、チャットリンクが、プライバシーモードとハッシュのみの監査デフォルトを尊重するようになりました。チャットリンクは確認後にのみ開きます。
スキャナーの安全性: 状態を変更するリクエストはDANGEROUSでのみリプレイされます。Burp ScannerのAI チェックは、スキャンのリソースプールとAIパッシブスイッチを尊重します。
信頼性: NVIDIA NIMとPerplexityが再び動作し、フォローアップのチャットメッセージはコンテキストを維持し、低速または高負荷のマシンでもリダクションがコンテンツを失わなくなりました。
バンドルライブラリ: Netty 4.1.138、Jackson 2.22.3。

v1.0.0の新機能

最初の安定版リリースであり、セキュリティと正確性のマイルストーンです。2026-08-05 に 0.9.2 に対して行われた外部レビューでは、出荷済みコードを実行することで悪用可能な 2 件の欠陥が確認されました。本リリースはその両方に加え、同じレビューで明らかになったより広範な問題群を修正しています。詳細は CHANGELOG.md を参照してください。

修正および開示済み:

SEC-04 (critical) — MCP のアクセス制御チェックが解決済みルート上で実行されていませんでした。外部アクセスを有効にすると、リスナーは未認証のツール呼び出しを受け付けていました。ローカルモードでは、マッチしたルート上で Origin/Host/User-Agent チェックとセキュリティ応答ヘッダーが機能していませんでした。判定はルーティングより前に行われるようになりました。→ MCP トークンをローテーションしてください
PRIV-05 (high) — セッション Cookie が STRICT および BALANCED で未編集のまま AI バックエンドに到達していました。パッシブスキャナーは Cookie を素の name=value として出力し、その際にキーとしていたプレフィックスの秘匿処理を落としていました。また、文字通り session という名前の Cookie しか検出されていませんでした。→ 影響を受けた Cookie をローテーションしてください

強化:

モデルが出力したツール呼び出しには承認が必要になりました (SEC-06) — モデル出力から解析されたツール呼び出しは、あなたが判断するまで Burp に到達しません。階層はフェイルクローズで動作します。認識されないツール名は毎回確認を求め、決して無言で実行されません。プライバシーとセキュリティに関する注意事項を参照してください。
ポート乗っ取り時に MCP トークンが開示されなくなりました (SEC-07) — ローカルプロセスが MCP ポートを占有し、ID ヘッダーをエコーしていた場合、以前は完全な MCP ツールアクセスを付与するトークンを取得できました。乗っ取りクライアントは代わりに HMAC による所持証明を提示するようになり、TLS 下ではサーバー証明書を自身のキーストアにピン留めします。
SsrfGuard が代替 IP 表記を分類します (SEC-07) — http://2852039166/ (169.254.169.254 の 10 進表記) は、表記だけではプライベート/リンクローカル警告を回避できなくなり、分類時に名前解決を一切行わなくなります。
シェル引数は許可リスト方式でクォートされます (QUAL-06) — 空白を含まずメタ文字を含む値 (foo;id、$(cmd)) に対する、設定インポートからコマンド実行への経路を塞ぎます。
EDT の制約とスケジューラの堅牢性 — ツール実行、バックエンド HTTP、MCP の stop() が Swing イベントディスパッチスレッドから移動されました。定期タスクは例外による停止から保護されています。

検証済み: テストスイートは 660 から 158 クラスにわたる 1131 テストに増加し、プロジェクトの行カバレッジは 34% → 58% となり、detekt ベースラインは増えるどころか 1096 → 1040 に縮小しました。

ハイライト

12 の AI バックエンド — Burp AI（組み込み）、Anthropic、Ollama、LM Studio、NVIDIA NIM、Perplexity、汎用 OpenAI 互換、Gemini CLI、Claude CLI、Codex CLI、OpenCode CLI、Copilot CLI。BApp Store ビルドには 7 つ（Burp AI と 6 つの HTTP バックエンド）が含まれ、5 つの CLI バックエンドはフルビルドのみに含まれます。
59 の MCP ツール — Claude Desktop（または任意の MCP クライアント）が Burp を自律的に操作できます（ストアビルドには 8 つの拡張ネイティブ AI ツール、フルビルドには全 59 ツール）。
スコープ付き MCP アクセス — オプションで、すべての MCP ツールをスコープ内のホストに限定できるため、外部の AI クライアントが Burp 経由でスコープ外のターゲットに到達することはできません。
62 の脆弱性クラス — インジェクション、認証、暗号などにわたるパッシブおよびアクティブ AI スキャナー。パッシブスキャナーは Burp の PassiveScanCheck（Burp Pro）として動作します。
Releases からインストール — どちらのビルドも Releases からダウンロードできます。どのビルド？では両者の違いを説明しています。Custom AI Agent はまだ BApp Store に掲載されていません。BApp Store ビルドは extension-portal#231 で PortSwigger のレビュー中です。
テーマ対応 UI — 内部デザインシステムが設定パネルをスタイリングし、Burp のライト/ダーク切り替えに合わせて自動的に再テーマ化します。
Burp Scan Skill — お好みの AI コーディングアシスタント（Claude Code、Gemini CLI、Codex など）を MCP 経由のスキャナーとして使用できます。
ツール呼び出しの確認 — AI が発行するツール呼び出しはゲート制御されます。読み取り専用の境界付きツールは無言で実行され、それ以外はすべてチャット内の承認カードで最初に確認を求めます。不明なツールはフェイルクローズします。
3 つのプライバシーモード — STRICT / BALANCED / OFF。機密データが Burp の外に出る前に秘匿化します。
カスタムプロンプトライブラリ — コンテキスト（HTTP リクエストまたはスキャナーイシュー）ごとに自由形式のプロンプトを保存し、右クリックメニューから起動するか、Custom… 経由でアドホックに入力できます。
監査ログ — オプトインの JSONL ログで、レコードごとに SHA-256 を付与。プロンプト、コンテキスト、レスポンスは、詳細監査が有効でない限り SHA-256 と長さとして記録され、認証情報は決して書き込まれません。すべての起動には再現性のために promptSource / contextKind が付与されます。

クイックスタート

1. インストール

Releases から最新の JAR をダウンロードしてください。各リリースには Custom-AI-Agent-full-<version>.jar（GitHub フルビルド）と Custom-AI-Agent-bapp-<version>.jar（BApp Store ビルド）が含まれ、それぞれに .sha256 が付属します。どのビルド？ではどちらを選ぶべきかを説明しています。またはソースからビルドすることもできます（Java 21）：

git clone https://github.com/six2dez/burp-ai-agent.git
cd burp-ai-agent

# Full build (GitHub releases) — all 59 MCP tools
JAVA_HOME=/path/to/jdk-21 ./gradlew clean fullJar
# Output: build/libs/Custom-AI-Agent-full-<version>.jar

# Store build (BApp Store submission) — 8 extension-native AI MCP tools only
JAVA_HOME=/path/to/jdk-21 ./gradlew clean bappJar
# Output: build/libs/custom-ai-agent-bapp.jar

2. Burp へのロード

Burp Suite（Community または Professional）を開きます。
Extensions > Installed > Add に移動します。
拡張機能の種類として Java を選択し、.jar ファイルを選択します。

この拡張機能は Burp 内で Custom AI Agent として登録され（Extensions リストと Suite タブに表示される名前）、Burp 組み込みの Burp AI プロバイダーと区別されます。

ロードするビルドは 1 つだけにしてください。 フルビルドと BApp Store ビルドはどちらも Custom AI Agent として登録されるため、Burp の Extensions リストでは同一に見えます。両方を同時にロードすると、Custom AI Agent タブが 2 つ、同じポートを奪い合う MCP サーバーが 2 つ、共有ディレクトリ ~/.burp-ai-agent に書き込むコピーが 2 つ存在することになります。一方をロードする前に、もう一方をアンロードしてください。

burp-ai-agent v0.9.2