OpenHunterAI

あなたのローカルAIレッドチーム。
ウェブ、API、LLMアプリケーションセキュリティのための攻撃者視点の推論。

クイックスタート · エージェントスキル · 評価モデル · アーキテクチャ · ドキュメント · スター履歴

OpenHunterAIは、スコープ、スキャン活動、検出結果、および修復を1つの ローカルワークスペースに統合します。アカウントなしで開始し、モデルプロバイダーを接続し、 所有している、またはテストを許可されている検証済みの公開アプリケーションを評価します。

機能	得られるもの
ローカルワークスペース	サインアップ不要。プロジェクトとスキャン記録はローカルデータベースに保存
明示的なスコープ	ドメイン検証、決定論的プラン、人間による承認ゲート
複数のシグナルソース	ブラウザ検査、偵察、ZAP、およびNucleiアダプター
AI支援調査	OpenHack/Strixアダプター境界。独自のランタイムを持ち込み可能
証拠と修復	サニタイズされた検出結果、カバレッジギャップ、修正ガイダンス、手動再テスト
ポータブルワークフロー	Codex、Claude Code、Gemini CLI、Grok Build、OMP向けのスキル

アルファ版。 統合のカバレッジは設定されたランタイムに依存します。正常な ワークスペースや空のレポートは、ターゲットが安全であることを証明するものではありません。

評価モデル

OpenHunterAIは、 48bf9036技術要件の有用な核心を維持しています。 攻撃者の視点から外部から観察可能な動作を評価します。ソース コードは不要です。すべての実行は、検証済みの公開ターゲット と承認されたスコープに制約されます。

flowchart LR
  S["1. Lock scope"] --> M["2. Map surface"]
  M --> B["3. Establish baseline"]
  B --> H["4. Test bounded hypotheses"]
  H --> E["5. Gate evidence"]
  E --> R["6. Report and retest"]

段階	出力	制御
スコープロック	検証済みホスト、承認済みパス、スキャンプラン	作業開始前の承認
サーフェスマッピング	ブラウザと偵察のシグナル	公開された、スコープ内のサーフェスのみ
ベースライン	通常の応答とカバレッジコンテキスト	制限されたワーカーとアダプターポリシー
仮説検証	候補となるセキュリティシグナル	破壊的なアクションなし。機密性の高い検証には承認が必要
証拠ゲート	サニタイズされた再現可能な検出結果	観察されたシグナルとアナリストの判断を分離
レポートと再テスト	修正ガイダンス、制限事項、手動確認	影響判断とクローズは人間が担当

OpenAPI/Swagger記述、Postmanの例、サニタイズされたHTTPキャプチャ、および 専用のテストアカウントは、合意されたテストサーフェスの定義に役立ちます。生の機密トラフィックの 自動インポートや保持は、約束された機能ではありません。

クイックスタート

Git、Node.js 22+、およびCompose v2付きのDockerが必要です。

git clone https://github.com/LumosLab-Innovation/OpenHunterAI.git
cd OpenHunterAI
node ops/local.mjs start

**localhost:3001**を開きます。初回起動時にイメージがビルドされ、 データベースマイグレーションが適用され、生成されたシークレットを含むプライベートな.env.localが作成されます。

1. .env.localにプロバイダーキーとモデルIDを設定し、node ops/local.mjs restartを実行します。
2. プロジェクトを作成し、その公開ドメインを検証します。
3. スコープを承認し、スキャンを開始し、その活動とカバレッジを確認します。

コマンド	目的
node ops/local.mjs status	サービスの検査
node ops/local.mjs logs public-api	APIエラーの診断
node ops/local.mjs stop	停止。データベースボリュームは保持

含まれるもの: ブラウザ検査、ZAP、偵察、およびNucleiアダプター。 別途用意: OpenHackおよびStrixランタイム。 オプションのインタラクティブなターゲットログインキャプチャ: node ops/local.mjs start --with-browser。

スキャン前に、Nucleiテンプレートポリシーのブロッカーを解決してください。 アダプターはパッケージ化されていますが、レビュー済みのテンプレートバンドルはまだ提供されていません。

ローカルとは、ワークスペースがあなたのマシン上で実行されることを意味し、 localhost/プライベートネットワークをスキャンする許可を意味するものではありません。そのポートはループバック上に保ってください。 セットアップ、モデル設定、トラブルシューティング →

コーディングエージェントスキル

エージェントに評価させたいアプリケーションリポジトリで実行します:

npx --yes skills add LumosLab-Innovation/OpenHunterAI --skill openhunter --agent codex claude-code gemini-cli grok --yes

コーディングエージェントをリロードしてから、次のように尋ねます:

OpenHunterを使用して私のワークスペースを確認し、スコープ付きのセキュリティ評価を準備してください。 スキャンを開始する前に私の承認を待ってください。

OMPは、そのAgentsプロバイダーを通じて共有の.agents/skillsインストールを検出します。このスキルには 読み取り専用のAPIヘルパーが含まれています。インストールしてもスキャンは開始されません。 クライアント互換性 →

アーキテクチャ

flowchart LR
  UI["Local workspace<br/>React + Vite"] --> API["Public API<br/>Scope + scan plan"]
  API --> BUS["NATS<br/>Orchestrator + workers"]
  BUS --> EVIDENCE["Internal API<br/>Findings + reporting"]
  EVIDENCE --> DB[("Postgres")]
  API <--> DB
  API -->|"Activity + reports"| UI

パブリックAPIがプランを構築し、Goワーカーが制限されたアダプターを通じてそれを実行します。 シグナルはレポートに入る前に検出ポリシーを通過します。レポートは 別個のスキャンワーカーではなく、バックエンドサービスです。

ランタイムとデータフロー · ワーカーマッピング · 統合セットアップ

ドキュメント

ここから始める	さらに深く
ローカルセットアップ	アーキテクチャとデータモデル
製品概要	製品要件
エージェントワークフロー	LLMルーティング
セキュリティガードレール	受け入れとリリースゲート

すべてのドキュメント · 既知の制限事項 · 過去の技術仕様

コミュニティとライセンス

バグを報告し、 改善を提案するか、ドキュメントの明確化にご協力ください。 まずコントリビューションルールをお読みください。脆弱性は 非公開で開示し、認証情報や生のターゲットデータを含めないでください。

PolyForm Noncommercial 1.0.0の下でソース公開されています。 商用ライセンス: LICENSING.md。 アップストリームツールと帰属はそれぞれの通知を保持します。

スター履歴