mulot

Pentester web de IA agentic que conduz um navegador.

Um LLM de pesos abertos (GLM-5.2, Gemma ou Qwen) conduz um Chromium headless real através de um toolkit no estilo Burp e trabalha um alvo da forma como um pentester humano faria.

Nenhum modelo de fronteira, nenhum agente executando dentro de uma VM Kali.

_{recon → escreve seu próprio payload JavaScript → injeção de comando → flag.}

Executando apenas este harness, agentes GLM-5.2 de pesos abertos resolveram 87% do OverTheWire Natas e 73% do Root-Me Web-Server (tabelas completas abaixo).

• Navegador real, não apenas HTTP fluxos de login reais, apps pesados em JS e XSS baseado em DOM.
• Primitivas no formato Burp histórico de tráfego, repeater, intruder, scan passivo.
• Sem API de fronteira, sem agente em uma VM Qwen 3.6 27B é viável; GLM-5.2 é o ponto ideal.

A ideia

Um agente não é apenas um modelo, as ferramentas muitas vezes importam mais do que a contagem de parâmetros.

Os modelos leram a literatura de segurança, proxies de interceptação, histórico de requisições, mapas de site, fuzzing de um ponto de inserção. Burp, ZAP, mitmproxy, Fiddler — seu vocabulário e seus gestos existem no corpus no qual o modelo foi treinado.

Então mulot molda o harness para expor exatamente essas primitivas.

Duas metades

mulot se divide em duas: um proxy que captura e reproduz cada troca, e uma camada de pensamento que executa o código do próprio agente dentro da página alvo.

A metade proxy

• Journal de tráfego (Histórico): cada troca HTTP cai em um banco de dados SQLite sempre ativo, consultável e reproduzível. A captura passa pelo protocolo CDP do navegador, então o HTTPS é lido já descriptografado — sem certificado de interceptação, sem MITM real.

• Editor de requisições (Interceptor/Repeater): reconstrua uma requisição a partir de uma URL ou reabasteça uma a partir de um fluxo capturado, adultere-a e reenvie-a, fora das regras de CORS do navegador.

• Fuzz HTTP (Intruder): um ponto de inserção marcado, um conjunto de payloads trocados por vez, e condições de correspondência em status, comprimento ou regex.

• Scans (Passive scan): passagens passivas e ativas sobre o mesmo journal e o DOM ativo.

A metade de pensamento

• JavaScript na página: uma caixa de ferramentas JS executada dentro da página, não no host. O agente automatiza de dentro, a máquina que o executa permanece fora de alcance. Ele injeta bibliotecas JS auxiliares no contexto do DOM e cria suas próprias ferramentas JavaScript para ataques padding-oracle, SQLi baseado em tempo, desserialização...

• Habilidades e wordlists embutidas: playbooks e wordlists incorporados no binário, servidos sob demanda por tag. As habilidades são escolhidas após o fingerprint do alvo, as wordlists, grandes por natureza, nunca cruzam a janela de contexto — são consumidas no lado do servidor ou iteradas na página.

Habilidades: playbooks embutidos, seleção dinâmica

Os playbooks residem no binário (go:embed sobre assets/skills/) e são servidos por duas ferramentas:

• list_skills enumera as stacks disponíveis (php, python, java, nodejs, ...).
• load_skill retorna o workflow compartilhado sem argumentos, ou o playbook adaptado de uma stack quando você o nomeia (load_skill(["python"])).

O fluxo: o modelo obtém o workflow compartilhado no início (para que conheça suas capacidades antes de conhecer o alvo), faz o fingerprint do alvo, então carrega a stack correspondente. Alvos poliglotas são ok; chame novamente à medida que mais stacks surgirem. Adicionar uma stack significa colocar um diretório assets/skills/<name>/ e reconstruir.

Início rápido

go build -o mulot ./cmd/mulot        # build the MCP server binary

# local llama.cpp
python3 agent.py  --provider llamacpp --model qwen3.6-mtp --base http://localhost:8080 \
  "pwn this server http://localhost:4280/login.php and output only id and uname -a command"

# zai token
export ZAI_API_KEY=...        
python3 agent.py --provider zai --model glm-5.2 "audit http://localhost:8000"

agent.py é um pequeno harness de arquivo único que conduz o mulot via stdio MCP e conversa com qualquer endpoint compatível com OpenAI com chamada de ferramentas. Predefinições: openrouter, llamacpp, zai. O provedor é detectado automaticamente a partir de qualquer chave de API que esteja no ambiente.

Variáveis de ambiente:

Resultados

Executando agentes GLM-5.2 de pesos abertos contra desafios de pentest web usando apenas este harness (máx. 120 passos) produziu resultados fortes:

OverTheWire (Natas): 87% resolvidos

Root-Me (Web-Server): 73% resolvidos

Muitas falhas vieram das ferramentas de sandbox do mulot que não puderam ser reescritas em JavaScript puro na página (serialização específica de objetos, vitória em condições de corrida, algumas operações criptográficas, cracking, bruteforce, canais out-of-band).

Exemplos de cadeia de pensamento

Uso responsável

mulot é uma ferramenta de segurança ofensiva apenas para testes autorizados: sistemas que você possui, compromissos para os quais você tem permissão por escrito e laboratórios deliberadamente vulneráveis como OverTheWire, Root-Me ou DVWA. Ela conduz ataques reais contra qualquer alvo para o qual você a aponte, portanto, apontá-la para um sistema que você não possui ou para o qual não está explicitamente autorizado a testar é provavelmente ilegal e não é um caso de uso suportado. Você é responsável por permanecer dentro do escopo e da lei. Lançado sob Apache-2.0, sem garantia.