BurpIA

BurpIA는 Burp Suite를 AI 지원 웹 보안 테스트 환경으로 바꿔줍니다. LLM(12개 이상의 제공자 또는 로컬 모델)으로 실제 HTTP 트래픽을 분석하고, Burp MCP를 통해 자율 CLI 에이전트로 발견 사항을 검증하며, 모든 결과를 추적 가능하게 유지합니다 — Burp Suite Community와 Professional 모두에서 작동합니다.

🎯 BurpIA가 하는 일

이 확장은 수동적인 HTTP 트래픽을 실행 가능한 보안 발견 사항으로 전환합니다. 다음을 수행할 수 있습니다:

• LLM으로 트래픽 분석: 실제 증거(request + response)를 사용하여 자동 수동 스캔 또는 컨텍스트 메뉴를 통한 수동 분석.
• 요청 흐름 분석: 2~4개의 관련 요청을 하나의 흐름으로 맥락 분석 — 상태 및 로직 취약점에 이상적입니다.
• CLI 에이전트로 검증: 발견 사항이나 흐름을 Burp Suite MCP와 통합된 자율 에이전트(Factory Droid, Claude Code, Antigravity, Open Code, Grok, Codex)로 보내 심층 수동 검증을 수행합니다.
• 신속한 트리아지: 중앙 집중식 결과 테이블에서 발견 사항을 Burp Repeater로 직접 보내거나 Burp 프로젝트 Issues에 저장합니다.
• 발견 사항을 지능적으로 관리: 심각도/신뢰도 우선순위 지정, 텍스트 및 심각도 필터, CSV/JSON 내보내기.
• 통제 유지: 요청 중복 제거(SHA-256, TTL 15분, LRU 10k), 구성 가능한 동시성(1~10), 정적 리소스 필터링, 이중 언어 UI(스페인어/영어), 네이티브 다크/라이트 테마.

중요: AI 발견 사항은 판결이 아니라 힌트입니다. 보고하기 전에 항상 검증하세요 — 오탐이 발생할 수 있습니다.

📦 설치

1. releases 페이지에서 BurpIA-1.7.0.jar를 다운로드합니다.
2. Burp Suite에서: Extensions 탭 → Add → JAR 파일을 선택합니다.
3. BurpIA 탭에서 제공자를 구성합니다: LLM Provider, API Key(해당하는 경우), Model, Language.
4. 트래픽을 캡처하기 전에 Test Connection을 사용하여 엔드포인트를 검증합니다.

⚙️ 사전 요구 사항

요구 사항	세부 사항
Burp Suite	Community 또는 Professional
운영 체제	macOS, Linux 또는 Windows
Java	17+ (네이티브 Burp 설치 프로그램에 번들된 JRE도 작동)
LLM 액세스	클라우드 제공자용 API 키, 로컬 Ollama 또는 LM Studio
CLI 에이전트(선택 사항)	다음 중 하나: droid, claude, agy, opencode, grok, codex
UI 언어	스페인어 또는 영어(설정에서 전환 가능)

🚀 빠른 시작 (3분)

1. 확장을 로드합니다(설치 참조).
2. LLM Provider를 선택하고 API Key를 입력합니다.
3. Test Connection을 클릭하여 엔드포인트와 모델을 검증합니다.
4. Burp Proxy를 통해 탐색합니다 — 트래픽이 분석되면서 발견 사항이 BurpIA 탭에 나타납니다.
5. 아무 요청이나 마우스 오른쪽 버튼으로 클릭 → Analyze request with BurpIA(또는 에이전트 검증의 경우 🤖 Analyze with {Agent}).

🔄 작동 방식

수동 흐름

1. BurpIA가 HTTP 교환을 가로챕니다.
2. Scope를 확인하고, 필터를 적용하며, 중복 제거를 수행합니다.
3. 작업이 분석 관리자에 대기열에 추가됩니다.
4. request와 response를 주입하여 프롬프트를 구성합니다.
5. AI 응답을 파싱하고 발견 사항을 정규화합니다.
6. 결과 테이블, 통계 및 (활성화된 경우) Burp Issues가 업데이트됩니다.

수동 흐름

1. 모든 Burp 탭에서 하나 이상의 요청을 선택합니다(흐름 분석의 경우 2~4개).
2. 마우스 오른쪽 버튼으로 클릭:
   • 1개 요청: Analyze request with BurpIA 또는 🤖 Analyze with {Agent}.
   • 2~4개 요청: 🔍 Analyze this flow 또는 🤖 Analyze this flow with {Agent}.
3. 발견 사항이 테이블에 나타나 편집, 내보내기 또는 Repeater로 전송할 수 있습니다.

🔌 지원되는 LLM 제공자

제공자	참고
Ollama	로컬 모델: Qwen 3.8, Llama 4, Gemma 4, DeepSeek v4, Phi-4 등
Ollama Cloud	ollama.com의 클라우드 모델 — API 키 필요
OpenAI	GPT-5.6 (+ Luna/Sol/Terra/Cyber 변형)
Claude	Anthropic: Fable 5.1, Opus 5, Sonnet 5
Gemini	Google: 3.8 Flash (GA), 3.7/3.6 Flash, 2.5 Pro
Moonshot (Kimi)	K3, K2.7 및 이전 버전
Z.ai / Minimax	GLM 5.3 및 MiniMax H3
DeepSeek	v4-pro, v4-flash — OpenAI 호환 API
xAI Grok	grok-4.6, grok-4.5 — OpenAI 호환 API
Sakana Fugu	fugu, fugu-ultra
LM Studio	로컬 서버, OpenAI 호환
Custom	모든 OpenAI 호환 API용 최대 3개 프로필

🤖 CLI 에이전트

Burp Suite MCP와 통합된 자율 검증 에이전트:

에이전트	바이너리	가이드
Factory Droid	droid	EN · ES
Claude Code	claude	EN · ES
Antigravity CLI	agy	EN · ES
Open Code	opencode	EN · ES
Grok CLI	grok	EN · ES
Codex CLI	codex	EN · ES

🧠 사용자 정의 프롬프트 토큰

• {REQUEST} / {RESPONSE}: 정규화된 HTTP 요청/응답.
• {REQUEST_1}…{REQUEST_N} / {RESPONSE_1}…{RESPONSE_N}: 흐름의 N번째 요소.
• {OUTPUT_LANGUAGE}: 발견 사항 설명에 대한 예상 출력 언어.

이 토큰을 생략하면 BurpIA가 자동으로 보안 블록(폴백)을 추가하여 최소 컨텍스트를 유지하고 구성된 언어를 강제합니다.

🚀 사용 예시

인증 흐름을 대상으로 하는 사용자 정의 프롬프트(2개의 요청을 하나로 분석):

You are a web security auditor. Focus ONLY on authentication and session logic.

Request 1 (login):
{REQUEST_1}
Response 1:
{RESPONSE_1}

Request 2 (password change):
{REQUEST_2}
Response 2:
{RESPONSE_2}

Report findings in {OUTPUT_LANGUAGE} with severity, confidence, and remediation.

BurpIA가 생성한 일반적인 발견 사항(결과 테이블에 렌더링됨):

Title:    Password change endpoint accepts old password indefinitely
Severity: High · Confidence: Certain
Endpoint: POST /api/v2/account/password  (200 OK)
Evidence: The password-change flow succeeded using the pre-login session
          token, indicating missing re-authentication and no rotation of
          existing sessions.
Remedy:   Require current-password verification and invalidate all active
          sessions after a successful change.

테이블에서 Burp Repeater로 보내 수동 검증하거나, 내보내거나(CSV/JSON), Burp MCP를 통해 더 깊은 검증을 위해 CLI 에이전트로 전달할 수 있습니다.

📸 스크린샷

대시보드 (ES)	에이전트 검증	Repeater의 검증된 발견 사항

🆕 v1.7.0의 새로운 기능

• 새 LLM 제공자: DeepSeek (v4-flash/v4-pro), xAI Grok (grok-4.3/4), Ollama Cloud, Sakana Fugu.
• 새 CLI 에이전트: 바이너리 자동 감지 및 제어된 권한을 갖춘 Grok CLI.

전체 릴리스 기록: releases 페이지 및 git tag 기록을 참조하세요.

💡 모범 사례

• Burp 프로젝트 파일에 직접 지속성을 원하는 경우에만 Auto-save to Issues를 활성화하세요.
• 보고하기 전에 모든 발견 사항을 수동으로 검증하세요; AI는 환각을 일으킬 수 있습니다.
• 클라우드 제공자를 사용하는 경우, 민감한 데이터가 포함된 트래픽을 전송하기 전에 데이터 정책을 검토하세요.

📜 라이선스

MIT — LICENSE를 참조하세요.