DarkMoon

A plataforma open-source de testes de penetração com IA que executa um pentest completo por conta própria e nunca vaza seus dados

Aponte o DarkMoon para um alvo autorizado. 50 agentes de IA especializados raciocinam, encadeiam exploits reais em web, nuvem, Active Directory e Kubernetes, e retornam prova para cada descoberta. Self-hosted, e o modelo só vê IP_PRIVATE_001, nunca seus IPs, hosts ou credenciais reais.

⭐ Dê uma estrela ao DarkMoon · ▶️ Assista à demo de 60s · 🚀 Início rápido · 📊 Benchmark de 57 vulnerabilidades

Destaque em Help Net Security · Cyber Security News · DevOps.com · SecurityBrief · LinuxLinks · IT Brief · ChannelLife

▶️ Assista ao DarkMoon executar um teste de penetração autônomo completo

O que é o DarkMoon?

O DarkMoon é uma plataforma open-source de testes de penetração com IA. Aponte-a para um alvo que você está autorizado a testar, e ela executa toda a avaliação por conta própria: raciocina, planeja e despacha 50 agentes especialistas que executam operações ofensivas reais por meio de uma camada MCP controlada, e então reporta cada vulnerabilidade com o comando exato, a saída bruta e a prova por trás dela.

Ela não substitui o pentester. Ela elimina a parte repetitiva de uma avaliação com evidências, para que seus especialistas gastem seu tempo em julgamento, não em trabalho braçal.

Por que o DarkMoon?

• 🌐 Além da web — um único sistema agêntico em web, APIs, Active Directory, Kubernetes, nuvem (AWS, Azure, GCP), CI/CD, bancos de dados e firmware de IoT, encadeado de ponta a ponta
• 🕶️ Seus dados nunca chegam ao LLM — a tokenização local reversível transforma IPs, hostnames, URLs, credenciais e caminhos reais em placeholders determinísticos (IP_PRIVATE_001, ...), reidratados localmente apenas no momento em que uma ferramenta é executada e mascarados de volta em todos os resultados. Funciona totalmente em um modelo local. E nunca custa um comando: quando um valor está indo para um lugar onde não deve ir, o comando ainda é executado e o destinatário recebe o placeholder. Esta é a parte que nenhum concorrente de nuvem tem.
• 🧾 Prova, não pontuações — cada descoberta vem com o comando exato e a saída bruta, reproduzível, para que não haja nada para confiar cegamente e quase nada para triar
• 🔧 50 agentes especialistas, 50+ ferramentas ofensivas — Nuclei, NetExec, BloodHound, sqlmap, Impacket, Naabu, httpx, ffuf e mais, orquestrados via MCP
• 🛡️ Segurança por design — a IA nunca executa um comando diretamente; toda ação flui por uma interface MCP controlada e registrada
• ♾️ Nativo para CI/CD — dispare um pentest no pipeline e obtenha descobertas como artefatos
• 📖 Nada escondido — GPLv3, self-hosted, a metodologia de cada agente é Markdown simples que você pode ler, fazer diff e fork

Construído para equipes de segurança, engenheiros de DevSecOps, red teamers e profissionais de hacking ético.

📊 Benchmark: 57 vulnerabilidades reais no OWASP Juice Shop

Execução black-box real e reproduzível contra o OWASP Juice Shop em um LLM local (nada sai da sua infraestrutura):

Reproduza você mesmo e compare ferramentas: ASCIT31/Darkmoon-Benchmarks.

🆚 Como o DarkMoon se compara

Compilado de repositórios/documentação públicos (2026-08); correções bem-vindas via PR.

Início Rápido

Pré-requisitos

• Docker e Docker Compose
• Uma chave de API de LLM (OpenRouter, Anthropic, OpenAI, ou modelos locais)

Nota: Configuração de GPU, solução de problemas de driver NVIDIA e configuração avançada de ambiente são abordadas na Documentação Completa, Solução de Problemas de GPU.

Instalação

1. Clone o repositório

git clone https://github.com/ASCIT31/Dark-Moon.git
cd Dark-Moon

2. Configure seu provedor de LLM

O install.sh lida com a configuração do provedor de forma interativa, sem necessidade de editar o docker-compose.yml:

./install.sh           # pula o formulário se .opencode.env já estiver configurado
./install.sh --init    # força a reconfiguração (modelo de nuvem ou local)
./install.sh --help    # mostra o uso

Suporta provedores de nuvem (Anthropic, OpenAI, OpenRouter…) e modelos locais (Ollama, llama.cpp).

Nota: Para detalhes completos sobre variáveis de ambiente e configuração de modelo local, veja a Documentação Completa, Variáveis de Ambiente.

3. Compile e inicie

./install.sh  # Instalação limpa com reset completo da stack

4. Execute sua primeira avaliação

./darkmoon.sh "TARGET: example.com"

5. Monitore em tempo real

./darkmoon.sh --log <session_id>

Nota: Os logs de sessão em tempo real exibem cada comando executado pelo servidor MCP. Veja Documentação Completa, Logs de Sessão para detalhes.

Como Funciona

O DarkMoon opera como um orquestrador estratégico de agentes de segurança de IA alinhado às metodologias ISO 27001, NIST SP 800-115 e MITRE ATT&CK.

Quando você fornece um alvo, a plataforma automaticamente:

1. 🔍 Descobre o ambiente do alvo (portas, serviços, protocolos)
2. 🧠 Identifica a stack de tecnologia (frameworks, CMS, APIs)
3. 🎯 Modela a superfície de ataque
4. 🚀 Implanta subagentes especializados com base nas tecnologias detectadas
5. 🔬 Executa um loop de varredura inteligente de vulnerabilidades com adaptação reativa
6. ✅ Valida descobertas com evidências (requisições, payloads, respostas)
7. 📝 Gera um relatório de auditoria estruturado

Orquestração de Subagentes

O DarkMoon seleciona e despacha dinamicamente agentes especializados dependendo das tecnologias descobertas:

Múltiplos agentes podem executar em paralelo em arquiteturas híbridas.

Planos que exigem credenciais para serem significativos (contas de nuvem, CI/CD, armazenamentos de segredos, bancos de dados, Active Directory, Kubernetes) nunca são despachados por inferência. Eles disparam apenas quando um artefato concreto é encontrado (uma chave, um token, um endpoint de metadados acessível) ou quando você os autoriza explicitamente, e caso contrário são sinalizados no relatório.

Nota: Para a lista completa de agentes, sua estrutura, ciclo de vida e como criar agentes personalizados, veja Documentação Completa, Agentes de IA.

Visão Geral da Arquitetura

Usuário ──> DarkmoonCLI ──> OpenCode (Cérebro de IA) ──> MCP (Guardião de Segurança) ──> Docker Toolbox (Ferramentas Reais)

sequenceDiagram
  participant U as User
  participant O as OpenCode
  participant A as AI Agent
  participant M as MCP Darkmoon
  participant T as Docker Toolbox

  U->>O: User prompt
  O->>A: Delegate task
  A->>M: MCP function call
  M->>T: Execute real tool
  T-->>M: Results
  M-->>A: Structured output
  A-->>O: Next decision
  O-->>U: Summary / result

A IA raciocina e planeja. O MCP controla o que pode ser executado. O Toolbox executa ferramentas isoladas dentro do Docker. A IA nunca toca diretamente o sistema, isto é segurança por design.

Nota: Para a análise completa da arquitetura (diagramas de implantação, fluxos de rede, limites de segurança), veja Documentação Completa, Arquitetura.

Definição de Escopo

O DarkMoon suporta definição flexível de escopo diretamente da linha de comando.

Pentest rápido (zero configuração):

./darkmoon.sh "TARGET: http://172.19.0.3:3000"

Modo bug bounty (flags ativadas automaticamente):

./darkmoon.sh "TARGET: http://172.19.0.3:3000 PROGRAM=\"Juice Shop\" FOCUS=sqli,xss,idor NOISE=moderate FORMAT=h1"

As principais flags incluem FOCUS, EXCLUDE, CREDS, TOKEN, NOISE, SEVERITY, FORMAT e mais, todas interpretadas naturalmente pela IA.

Nota: Para a referência completa de flags, tipos de ativos, sintaxe livre de EXCLUDE/FOCUS e escopo avançado de múltiplos alvos, veja Documentação Completa, Definição de Escopo.

Toolbox Integrado

O DarkMoon vem com uma imagem Docker dedicada contendo mais de 50 ferramentas de segurança compiladas e otimizadas em um build multi-estágio:

Todas as ferramentas são diretamente acessíveis, sem necessidade de configuração de caminho.

Nota: Para a lista completa de ferramentas com detalhes de instalação e como adicionar novas ferramentas, veja Documentação Completa, Toolbox.

📖 Guia de Documentação

A Documentação Completa do DarkMoon cobre tudo o que você precisa para operar a plataforma. Aqui está uma referência rápida das seções mais importantes:

Casos de Uso

O DarkMoon é projetado como uma plataforma versátil de testes de segurança para:

• 🔒 Equipes de segurança, execute testes de penetração automatizados contínuos em sua infraestrutura
• ⚙️ Pipelines de DevSecOps, integre pesquisa de segurança orientada por IA em fluxos de trabalho de CI/CD
• 🎯 Caçadores de bug bounty, acelere o hacking ético com análise autônoma de alvos
• 🔬 Pesquisadores de segurança, explore superfícies de ataque com uma plataforma de cibersegurança com IA que se adapta em tempo real
• 🎓 Treinamento e educação, aprenda segurança ofensiva com avaliações guiadas e reproduzíveis

Exemplos de Prompts

# Pentest de aplicação web
./darkmoon.sh "TARGET: http://172.19.0.3:3000"

# Avaliação de Active Directory
./darkmoon.sh "TARGET: 192.168.1.10"

# Bug bounty com foco específico
./darkmoon.sh "TARGET: https://app.example.com PROGRAM=\"Example BB\" FOCUS=sqli,rce,ssrf EXCLUDE=H1 FORMAT=h1"

Nota: Para mais exemplos de prompts incluindo cenários com DVGA, Juice Shop e navegador headless, veja Documentação Completa, Exemplos de Prompts.

Contribuindo

O DarkMoon é open source e recebe contribuições. Se você deseja adicionar novos agentes, integrar ferramentas, criar fluxos de trabalho ou melhorar a documentação, veja CONTRIBUTING.md para diretrizes.

Licença

Este projeto é licenciado sob a GNU General Public License v3.0. Veja LICENSE para detalhes.