BurpIA

BurpIAは、Burp SuiteをAI支援によるWebセキュリティテスト環境へと変えます。実際のHTTPトラフィックをLLM（12以上のプロバイダーまたはローカルモデル）で分析し、Burp MCP経由で自律型CLIエージェントによる検証を行い、すべての結果を追跡可能に保ちます — Burp Suite CommunityおよびProfessionalで動作します。

🎯 BurpIAができること

この拡張機能は、受動的なHTTPトラフィックを実行可能なセキュリティ検出事項へと変換します。以下のことが可能です：

• LLMによるトラフィック分析： 実際の証拠（request + response）を用いた、自動パッシブスキャンまたはコンテキストメニューからの手動分析。
• リクエストフローの分析： 2〜4件の関連リクエストを単一のフローとして文脈的に分析。状態やロジックの脆弱性に最適。
• CLIエージェントによる検証： 検出事項やフローを、Burp Suite MCPと統合された自律型エージェント（Factory Droid、Claude Code、Antigravity、Open Code、Grok、Codex）へ送信し、詳細な手動検証を実施。
• 迅速なトリアージ： 集中管理された結果テーブルから検出事項を直接Burp Repeaterへ送信、またはBurpプロジェクトのIssuesへ保存。
• 検出事項のインテリジェントな管理： 重大度/信頼度による優先順位付け、テキストおよび重大度フィルター、CSV/JSONエクスポート。
• 制御の維持： リクエストの重複排除（SHA-256、TTL 15分、LRU 10k）、設定可能な並行処理（1〜10）、静的リソースのフィルタリング、バイリンガルUI（スペイン語/英語）、ネイティブのダーク/ライトテーマ。

重要： AIによる検出事項はヒントであり、判定ではありません。報告前に必ず検証してください — 誤検知の可能性があります。

📦 インストール

1. releasesページからBurpIA-1.7.0.jarをダウンロードします。
2. Burp Suiteで：Extensionsタブ → Add → JARファイルを選択します。
3. BurpIAタブでプロバイダーを設定します：LLM Provider、API Key（該当する場合）、Model、Language。
4. トラフィックをキャプチャする前に、Test Connectionを使用してエンドポイントを検証します。

⚙️ 前提条件

要件	詳細
Burp Suite	CommunityまたはProfessional
オペレーティングシステム	macOS、Linux、またはWindows
Java	17以上（ネイティブBurpインストーラーに同梱のJREで動作します）
LLMアクセス	クラウドプロバイダーのAPIキー、ローカルOllama、またはLM Studio
CLIエージェント（オプション）	次のいずれか：droid、claude、agy、opencode、grok、codex
UI言語	スペイン語または英語（設定で切り替え可能）

🚀 クイックスタート（3分）

1. 拡張機能をロードします（インストールを参照）。
2. LLM Providerを選択し、API Keyを入力します。
3. Test Connectionをクリックしてエンドポイントとモデルを検証します。
4. Burp Proxyを通じてブラウジングします — トラフィックが分析されると、検出事項がBurpIAタブに表示されます。
5. 任意のリクエストを右クリック → Analyze request with BurpIA（またはエージェント検証の場合は🤖 Analyze with {Agent}）。

🔄 仕組み

パッシブフロー

1. BurpIAがHTTP交換をインターセプトします。
2. Scopeを確認し、フィルターを適用し、重複排除を行います。
3. タスクは分析マネージャーのキューに追加されます。
4. requestとresponseを注入してプロンプトを構築します。
5. AIの応答が解析され、検出事項が正規化されます。
6. 結果テーブル、統計、および（有効な場合は）Burp Issuesが更新されます。

手動フロー

1. 任意のBurpタブで1つ以上のリクエスト（フロー分析の場合は2〜4件）を選択します。
2. 右クリック：
   • 1リクエスト： Analyze request with BurpIAまたは🤖 Analyze with {Agent}。
   • 2〜4リクエスト： 🔍 Analyze this flowまたは🤖 Analyze this flow with {Agent}。
3. 検出事項がテーブルに表示され、編集、エクスポート、またはRepeaterへの送信が可能です。

🔌 サポートされているLLMプロバイダー

プロバイダー	備考
Ollama	ローカルモデル：Qwen 3.8、Llama 4、Gemma 4、DeepSeek v4、Phi-4など
Ollama Cloud	ollama.comのクラウドモデル — APIキーが必要
OpenAI	GPT-5.6（+ Luna/Sol/Terra/Cyberバリアント）
Claude	Anthropic：Fable 5.1、Opus 5、Sonnet 5
Gemini	Google：3.8 Flash（GA）、3.7/3.6 Flash、2.5 Pro
Moonshot (Kimi)	K3、K2.7以前
Z.ai / Minimax	GLM 5.3およびMiniMax H3
DeepSeek	v4-pro、v4-flash — OpenAI互換API
xAI Grok	grok-4.6、grok-4.5 — OpenAI互換API
Sakana Fugu	fugu、fugu-ultra
LM Studio	ローカルサーバー、OpenAI互換
Custom	OpenAI互換API用の最大3プロファイル

🤖 CLIエージェント

Burp Suite MCPと統合された自律型検証エージェント：

エージェント	バイナリ	ガイド
Factory Droid	droid	EN · ES
Claude Code	claude	EN · ES
Antigravity CLI	agy	EN · ES
Open Code	opencode	EN · ES
Grok CLI	grok	EN · ES
Codex CLI	codex	EN · ES

🧠 カスタムプロンプトトークン

• {REQUEST} / {RESPONSE}：正規化されたHTTPリクエスト/レスポンス。
• {REQUEST_1}…{REQUEST_N} / {RESPONSE_1}…{RESPONSE_N}：フローのN番目の要素。
• {OUTPUT_LANGUAGE}：検出事項の説明に期待される出力言語。

これらのトークンを省略した場合、BurpIAは最小限のコンテキストを維持し、設定された言語を強制するために、セキュリティブロック（フォールバック）を自動的に追加します。

🚀 使用例

認証フローを対象としたカスタムプロンプト（2つのリクエストを1つとして分析）：

You are a web security auditor. Focus ONLY on authentication and session logic.

Request 1 (login):
{REQUEST_1}
Response 1:
{RESPONSE_1}

Request 2 (password change):
{REQUEST_2}
Response 2:
{RESPONSE_2}

Report findings in {OUTPUT_LANGUAGE} with severity, confidence, and remediation.

BurpIAによって生成される典型的な検出事項（結果テーブルに表示）：

Title:    Password change endpoint accepts old password indefinitely
Severity: High · Confidence: Certain
Endpoint: POST /api/v2/account/password  (200 OK)
Evidence: The password-change flow succeeded using the pre-login session
          token, indicating missing re-authentication and no rotation of
          existing sessions.
Remedy:   Require current-password verification and invalidate all active
          sessions after a successful change.

テーブルから、手動検証のためにBurp Repeaterへ送信したり、エクスポート（CSV/JSON）したり、Burp MCP経由でより深い検証のためにCLIエージェントへディスパッチしたりできます。

📸 スクリーンショット

ダッシュボード（ES）	エージェント検証	Repeaterでの検証済み検出事項

🆕 v1.7.0の新機能

• 新しいLLMプロバイダー： DeepSeek（v4-flash/v4-pro）、xAI Grok（grok-4.3/4）、Ollama Cloud、Sakana Fugu。
• 新しいCLIエージェント： バイナリの自動検出と制御された権限を備えたGrok CLI。

完全なリリース履歴：releasesページおよびgit tag履歴を参照してください。

💡 ベストプラクティス

• Auto-save to Issuesは、Burpプロジェクトファイルに直接永続化したい場合にのみ有効にしてください。
• 報告前にすべての検出事項を手動で検証してください。AIはハルシネーションを起こす可能性があります。
• クラウドプロバイダーを使用する場合、機密データを含むトラフィックを送信する前にデータポリシーを確認してください。

📜 ライセンス

MIT — LICENSEを参照してください。