mulot

ブラウザを駆動するエージェント型AI Webペネトレーションテスター

オープンウェイトのLLM（GLM-5.2、Gemma、Qwen）が、Burpスタイルのツールキットを通じて実際のヘッドレスChromiumを駆動し、人間のペネトレーションテスターと同じようにターゲットを攻撃します。

フロンティアモデルも、Kali VM内で動作するエージェントも不要です。

_{偵察 → 独自のJavaScriptペイロードを作成 → コマンドインジェクション → フラグ。}

このハーネスのみで、オープンウェイトのGLM-5.2エージェントはOverTheWire Natasの87%、Root-Me Web-Serverの**73%**を解決しました（詳細な表は以下）。

• 実際のブラウザ、HTTPだけではない 実際のログインフロー、JS中心のアプリ、DOMベースのXSS。
• Burp型のプリミティブ トラフィック履歴、リピータ、イントルーダ、パッシブスキャン。
• フロンティアAPIもVM内エージェントも不要 Qwen 3.6 27Bは実用的で、GLM-5.2がスイートスポット。

アイデア

エージェントはモデルだけではありません。ツールの質がパラメータ数よりも重要であることがよくあります。

モデルはセキュリティ文献、インターセプトプロキシ、リクエスト履歴、サイトマップ、挿入ポイントのファジングなどを読んできました。Burp、ZAP、mitmproxy、Fiddler — それらの語彙や動作は、モデルが訓練されたコーパスに存在しています。

そこでmulotは、まさにそれらのプリミティブを公開するようにハーネスを形成します。

2つの部分

mulotは2つに分かれています。つまり、すべての通信をキャプチャして再生するプロキシと、エージェント自身のコードをターゲットページ内で実行する思考層です。

プロキシ部分

• トラフィックジャーナル（履歴）: すべてのHTTP通信は常時稼働のSQLiteデータベースに保存され、クエリとリプレイが可能です。キャプチャはブラウザのCDPプロトコルを通じて行われるため、HTTPSはすでに復号化された状態で読み取られます。インターセプト証明書も実際のMITMも不要です。

• リクエストエディタ（インターセプタ/リピータ）: URLからリクエストを再構築したり、キャプチャしたフローから再シードしたり、改変して再発行したりします。ブラウザのCORSルールの外で動作します。

• HTTPファズ（イントルーダ）: 1つのマークされた挿入ポイント、順番に交換されるペイロードセット、そしてステータス、長さ、または正規表現のマッチ条件。

• スキャン（パッシブスキャン）: 同じジャーナルとライブDOMに対するパッシブおよびアクティブパス。

思考部分

• ページ内JavaScript: ホストではなく、ページ内部で実行されるJSツールボックス。エージェントは内部から自動化し、それを実行するマシンは手の届かないところにあります。ヘルパーJSライブラリをDOMコンテキストに注入し、パディングオラクル攻撃、時間ベースのSQLi、デシリアライゼーションなどのための独自のJavaScriptツールを作成します。

• 埋め込みスキルとワードリスト: バイナリに組み込まれたプレイブックとワードリスト。タグでオンデマンドに提供されます。スキルはターゲットのフィンガープリンティング後に選択され、ワードリストは本質的に大規模ですが、コンテキストウィンドウを越えることはなく、サーバーサイドで消費されるかページ内で反復されます。

スキル: 埋め込みプレイブック、動的選択

プレイブックはバイナリ内に存在し（assets/skills/をgo:embed）、2つのツールで提供されます：

• list_skills は利用可能なスタック（php, python, java, nodejs, ...）を列挙します。
• load_skill は引数なしで共有ワークフローを返すか、スタック名を指定するとそのスタックの調整済みプレイブックを返します（load_skill(["python"])）。

フロー: モデルはまず共有ワークフローを取得し（ターゲットを知る前に自身の能力を把握）、ターゲットをフィンガープリンティングし、一致するスタックをロードします。多言語ターゲットも問題ありません。さらにスタックが現れたら再度呼び出します。スタックの追加は assets/skills/<name>/ ディレクトリを配置してリビルドするだけです。

クイックスタート

go build -o mulot ./cmd/mulot        # build the MCP server binary

# local llama.cpp
python3 agent.py  --provider llamacpp --model qwen3.6-mtp --base http://localhost:8080 \
  "pwn this server http://localhost:4280/login.php and output only id and uname -a command"

# zai token
export ZAI_API_KEY=...        
python3 agent.py --provider zai --model glm-5.2 "audit http://localhost:8000"

agent.py は、stdio MCP経由でmulotを駆動し、ツール呼び出しに対応したOpenAI互換のエンドポイントと通信する小さなシングルファイルのハーネスです。プリセット: openrouter、llamacpp、zai。プロバイダーは環境内のAPIキーから自動検出されます。

環境変数:

結果

オープンウェイトのGLM-5.2エージェントをこのハーネスのみでWebペンテストチャレンジに対して実行した結果（最大120ステップ）:

OverTheWire (Natas): 87%解決

Root-Me (Web-Server): 73%解決

多くの失敗は、純粋なページ内JavaScriptで書き換えられなかったmulotのサンドボックスツールに起因しました（特定のオブジェクトシリアライゼーション、レースコンディションの獲得、一部の暗号操作、クラッキング、ブルートフォース、アウトオブバンドチャネル）。

思考連鎖の例

責任ある使用

mulotは許可されたテスト専用の攻撃的セキュリティツールです。所有するシステム、書面による許可を得たエンゲージメント、OverTheWire、Root-Me、DVWAなどの意図的に脆弱なラボが対象です。指定した任意のターゲットに対して実際の攻撃を実行するため、所有していない、または明示的にテストを許可されていないシステムに向けることは違法となる可能性があり、サポートされていない使用例です。範囲と法律を遵守する責任はあなたにあります。Apache-2.0ライセンスで提供され、無保証です。