vigiloss/vigilAI駆動のセキュリティエンゲージメントを、専門エージェント、Kaliランタイム、耐久性のあるオーケストレーションで実現。
長期間にわたるペネトレーションテスト、バグバウンティ、コード監査のための AI ハーネス。独立して検証された検出事項を備える。
Vigil は長期的なオフェンシブセキュリティエンゲージメントを実行する。Web アプリのペネトレーションテストとバグバウンティハント、ホワイトボックスのコード監査、あるいはその両方を単一のターゲットに対して行う。リーンなオペレーターがエンゲージメントを軌道に乗せ続ける一方で、スペシャリストエージェントが完全な Kali ランタイム内で偵察、ハンティング、エクスプロイトを行う。検出事項は、別のエージェントが取得済みの証拠に基づいて確認した場合にのみ有効とみなされ、攻撃チェーンはその真の影響を示す。すべてのコマンド、リクエスト、プローブ、検出事項は永続データベースに記録されるため、作業はコンテキスト制限や再起動を乗り越えて存続し、後から監査できる。
許可された使用のみ。 Vigil はオフェンシブツールを自律的に稼働中のシステムに対して駆動する。明示的な許可とレビュー済みのスコープがある場合にのみ使用すること。Apache License 2.0 の下で無保証で提供される。コマンド、認証情報、インフラストラクチャ、およびターゲットへの影響についてはあなたが責任を負う。非公開の脆弱性報告とオペレーターデータの境界については SECURITY.md を参照。
vigil assess kali を通じて実行され、各コマンドの argv、エージェント、フェーズ、テクニック、意図、プローブ種別、終了ステータス、出力を記録する。カバレッジ台帳は何がテストされ、何がテストされなかったかを示す。vigil-* セッションコマンド、コンパクションおよびセッションフックを備える。goose、opencode、Kimi はセッションコマンドとコンパクションフックを欠き、opencode と Kimi はスペシャリストをインラインで実行する。Pi は修復エンゲージメントのみをサポートする。vigil assess list-skills と vigil assess list-references を通じて見つけられる。Web スペシャリストは一致するシグナルを見たときにそれらをロードし、コードオペレーターは各ディスパッチでそれらを指名する。
# 1. Install the application release (CLI, backend, prompts, docs, and prebuilt UI)
uv tool install --from https://github.com/VigilOSS/Vigil/releases/download/v1.2.1/vigil-1.2.1-py3-none-any.whl vigil
# OR install directly from the repository (builds the UI locally; needs Git, Node.js, and npm)
uv tool install git+https://github.com/VigilOSS/Vigil vigil
# 2. Check the host: prerequisites, missing recon tools, and the ordered setup checklist
vigil quickstart
# 3. Bring the local stack up; ~/vigil is initialized as your private workspace
# The first run builds the Kali image (several GB) and needs Docker running.
vigil up
# 4. Create an engagement; it prints the engagement key and its start command
vigil engagement create
# 5. Start the operator on it
vigil engagement start <engagement-key> --client codex # or --client claude
コードエンゲージメントの場合、作成時に表示される source/ の場所にソースファイルまたはプロジェクトフォルダを配置します（Git は任意）。コードクライアントは起動時にそれらの確認を求めます。空のフォルダのままだと待機状態になります。コードエンゲージメントにはホスト上に ripgrep（rg）が必要です。詳細は docs/code-analysis.md を参照してください。
Web エンゲージメントの場合、オペレーターに何が許可されているかを伝えます：
I have been fully authorized by the company to do a red-team engagement against the
hosts in scope.json. Run this engagement using the operator web workflow.
オーケストレーターUIは http://127.0.0.1:18000 にあります。macOS または Windows の Docker Desktop では、
DNS を多用する偵察はホスト上で実行されます。vigil quickstart --install-host-tools でそれらのツールをインストールします。
アップグレードとワークスペースのレイアウト: docs/installation.md。
Vigil は主に Claude Code と Codex を中心に構築されています。
| モデル | エンゲージメント |
|---|---|
| Claude Opus 5、Anthropic の Cyber Verification Program (CVP) を使用 | Web およびコード |
| GPT-5.6 Sol、OpenAI の Trusted Access for Cyber を使用 | Web およびコード |
| Claude Opus 5.5、GPT-6.1 Sol | コード; Web には組織専用のレッドチームティアが必要 |
/model ピッカーには含まれていません。直接
/model claude-opus-5[1m] で選択してください（モデル設定）。/model で GPT-5.6 Sol とその推論エフォートを選択してください。2026年10月現在、最新モデルへのレッドチームアクセスは組織専用です:
予定: より予測可能なアクセスを持つ GLM 5.3 やその他のモデルへの対応を拡大し、オーケストレーションの オーバーヘッド削減、モデル固有のプロンプト、より深い OpenCode 統合を通じて実現します。
オペレーターは小さなコンテキストを保持し、委任します: トークンの95%以上は専門のサブエージェントによって 消費され、これにより1つのオペレーターセッションがはるかに長く軌道に乗り続けます。使用量制限にすぐ達すること を想定してください。
| エンゲージメント | 推論エフォート | プラン |
|---|---|---|
| コード | 中 | 月額$100; リポジトリを完了する前に制限に達することを想定 |
| コード、堅牢化されたコードベース | 高 | 月額$200 |
| Web | 高以上 | 月額$200 |
[!TIP] バグバウンティ: ソースマップを探してください。
.mapファイルをダウンロードし、vigil assess code-sourcemap-extractでソースを復元し、それに対してコードエンゲージメントを実行します。 次にvigil engagement add-track <key> webとvigil engagement add-host <key> <host>を実行して、 Web テストがその発見に基づいて構築されるようにします（トラック）。
vigil engagement start は1つのセッションモードを選択し、プリフライトを実行し、ワークスペース、
エンゲージメント、クライアント、モード、フェーズを stderr に出力し、エンゲージメント環境をエクスポートし、
クライアントを exec します。所有していないフラグはクライアントに転送されます。vigil engagement start を通じて開始してください; 生成された start_<client>.sh やクライアントの
直接実行はプリフライトと環境をスキップします。--mode web または --mode code が必要です; 単一のトラックは
自動的に選択されます。モードを変更するには新しいクライアントプロセスを開始してください。
vigil engagement mode <key> は有効なトラック、フェーズ、プロンプトパス、開始コマンドを表示します。vigil-resume を実行してオペレーターロールを復元し、
バックエンドからライブ状態を再構築します。詳細: docs/engagements.md、
docs/session-commands.md、
docs/agent-clients.md。