Автономный AI-агент для пентеста с циклом plan→act→judge, универсальными навыками, шлюзом деструктивных действий и сменными LLM-провайдерами, а также уязвимая цель API для демонстраций.
Небольшой автономный агент для пентеста, работающий самостоятельно, а также специально созданная уязвимая цель для запуска против него. Создан, чтобы показать от начала до конца, как на самом деле работает AI-агент для пентеста — не чёрный ящик, а просто цикл plan→act→judge, несколько универсальных навыков, шлюз, который блокирует разрушительные действия, и слой провайдеров, переключающийся между публичной моделью и локальной, не затрагивая ничего остального.
Никаких фреймворков, никакой магии. Каждая часть — это обычный Python, который можно прочитать за несколько минут.
pentest-agent/ — сам агент. Начните отсюда;
его README подробно объясняет архитектуру (оркестратор, шлюз, навыки,
судья).vulntarget/ — небольшой намеренно уязвимый
API интернет-магазина (SQL-инъекция, IDOR, JWT alg=none, манипуляция ценой
в бизнес-логике), против которого можно запустить агента. Агент не привязан
жёстко к нему — он также запускался вживую против реальных лабораторий — но это
самый быстрый способ увидеть его работу от начала до конца на вашей машине.cd vulntarget
python3.13 -m venv .venv && source .venv/bin/activate
pip install -r requirements.txt
python app.py # serves on http://localhost:5000
В другом терминале:
cd pentest-agent
python3.13 -m venv .venv && source .venv/bin/activate
pip install -r requirements.txt
cp .env.example .env # fill in ANTHROPIC_API_KEY
python main.py --target http://localhost:5000 --model claude
Наблюдайте, как он рассуждает, действует и проходит проверку шаг за шагом в терминале.
MIT — см. LICENSE.
Gabriel Franco