Pensar Apex

自律エージェントを使用したAI駆動のペネトレーションテスト — ターミナル上で直接実行できます。探索、推論、実際の脆弱性を明らかにするブラックボックスおよびホワイトボックスのペンテストを実行できます。

クラウドから実行したい場合や、CI/CDに統合したい場合は、Pensar Consoleをご覧ください。

ユースケース

開発者

• PRをマージする前に /pentest を実行 — テストを実行するのと同じくらい自然に脆弱性を発見できます
• 深刻度スコア、証拠、修正案を含む実用的な結果を取得 — セキュリティの知識は不要です
• ヘッドレスCLIコマンドまたはPensar Consoleを使用してCI/CDに統合

セキュリティエンジニア

• 大規模な攻撃面にわたるエージェント駆動のスウォームテストを展開
• 手動調査、エクスプロイトチェーン、検証には /operator モードを使用
• エンゲージメント間で蓄積される永続メモリを使用して、反復的なテストワークフローを自動化
• Pensar Consoleを通じてチームやプロジェクトにスケール

インストール

使用方法

Apex TUIを開きます:

pensar

ヘッドレスCLI

スクリプト、CI、またはevalgate統合用に、TUIなしでペンテストを実行します:

# Basic pentest
pensar pentest --target https://example.com

# With extended thinking and task-driven mode
pensar pentest --target https://example.com --extended-thinking --task-driven

# Whitebox (with source code access)
pensar pentest --target https://example.com --cwd ./my-app

# Targeted pentest with specific objectives
pensar targeted-pentest --target https://example.com --objective "Test authentication bypass"

ロギング

Apexは、診断/運用ログを一元化された構造化ロガー（src/core/logger）経由でルーティングします。出力がTTYでない場合、1行JSONをstderrに書き出し — プログラムのstdoutから分離し、ログパイプライン（例: CloudWatch）に簡単に送れるようにします。また、対話型ターミナルでは、見やすい色付き出力を生成します。ユーザー向けのCLI/TUI出力はstdoutに残ります。

レベルを設定します（冗長な順: debug < info < warn < error、デフォルトはinfo）:

pensar pentest --target https://example.com --log-level debug   # or --verbose / --quiet
PENSAR_LOG_LEVEL=debug pensar ...                                # via environment
PENSAR_DEBUG=1 pensar ...                                        # back-compat alias for debug

解決順序: CLIフラグ → PENSAR_LOG_LEVEL → PENSAR_DEBUG → デフォルトのinfo。PENSAR_LOG_FORMAT=json|pretty で出力形式を強制します。Apexが管理エージェントとして実行される場合、PENSAR_LOG_LEVELはホスト環境から提供されます。

W&B Weaveトレーシング

ステップレベルのエージェントトレースをWeights & Biases Weaveにストリーミングして、分析とファインチューニングを行います:

export WANDB_API_KEY=your-key
export WANDB_ENTITY=your-entity
# WANDB_PROJECT defaults to "apex-traces"
pensar pentest --target https://example.com

トレースには、推論ステップ、ツール呼び出し、トークン使用量、状態チェックポイントが含まれます。認証情報が設定されていない場合、トレーシングは静かに無効になります。

OpenTelemetry（可観測性）

Apexは、@opentelemetry/api を通じて、エージェント実行、LLM呼び出し、ツール実行のOpenTelemetryスパンを出力します。プロセスがOpenTelemetry SDKをグローバルトレーサープロバイダーとして登録しない限り、スパンはno-opになります。ApexはSDKを同梱しません。

Apexのコードをインポートする前にSDKを登録してください:

• Sentry: @sentry/node ≥ 9.27 をインストールし、Sentry.init のインテグレーションに Sentry.vercelAIIntegration() を追加します。
• その他のOTelバックエンド（Honeycomb、Tempo、Datadogなど）: OTLPエクスポーターを使用して @opentelemetry/sdk-node を登録します。

スパンはOTel GenAIセマンティック規約に従います。デフォルトではスパンの形状（モデル、トークン数、レイテンシ、ツール名）のみがキャプチャされます。AI_TRACE_RECORD_PAYLOADS=true を設定すると、プロンプト、ツールI/O、出力も記録されます。

Kali Linux コンテナ（オプション）

最高のパフォーマンスを得るには、事前設定されたペンテストツールを備えた同梱のKali LinuxコンテナでApexを実行してください:

cd container
cp env.example .env  # add your API keys
docker compose up --build -d
docker compose exec kali-apex bash

コンテナ内で実行:

pensar

⚠️ 責任ある利用

このリポジトリには、許可されたセキュリティテスト専用のツールが含まれています。 使用前に、責任ある利用の開示をお読みいただき、同意してください。