mulot

Агентный ИИ-пентестер веб-приложений, управляющий браузером.

LLM с открытыми весами (GLM-5.2, Gemma или Qwen) управляет настоящим headless Chromium через набор инструментов в стиле Burp и обрабатывает цель так, как это сделал бы человек-пентестер.

Никакой frontier-модели, никакого агента, запущенного внутри Kali VM.

_{разведка → пишет собственный JavaScript-пейлоад → инъекция команд → флаг.}

Используя только эту обвязку, агенты на открытых весах GLM-5.2 решили 87% задач OverTheWire Natas и 73% задач Root-Me Web-Server (полные таблицы ниже).

• Настоящий браузер, а не просто HTTP реальные потоки входа, приложения с тяжёлым JS и DOM-based XSS.
• Примитивы в стиле Burp история трафика, повторитель (repeater), переборщик (intruder), пассивное сканирование.
• Без frontier API, без агента в виртуалке Qwen 3.6 27B работает; GLM-5.2 — оптимальная точка.

Идея

Агент — это не только модель, инструментарий часто важнее количества параметров.

Модели изучали литературу по безопасности: перехватывающие прокси, историю запросов, карту сайта, фаззинг точек вставки. Burp, ZAP, mitmproxy, Fiddler — их словарь и жесты присутствуют в корпусе, на котором обучалась модель.

Поэтому mulot формирует обвязку так, чтобы открыть именно эти примитивы.

Две половины

mulot разделён на две части: прокси, который захватывает и воспроизводит каждый обмен, и мыслительный слой, который запускает собственный код агента внутри целевой страницы.

Прокси-часть

• Журнал трафика (History): каждый HTTP-обмен попадает в постоянно работающую SQLite-базу, доступную для запросов и воспроизведения. Захват идёт через протокол CDP браузера, поэтому HTTPS читается уже расшифрованным — никакого сертификата перехвата, никакого реального MITM.

• Редактор запросов (Interceptor/Repeater): восстановить запрос из URL или повторно взять его из захваченного потока, изменить и отправить заново — вне CORS-ограничений браузера.

• HTTP-фаззинг (Intruder): одна отмеченная точка вставки, набор пейлоадов, сменяющих друг друга, и условия совпадения по статусу, длине или регулярному выражению.

• Сканирование (Passive scan): пассивный и активный проходы по тому же журналу и живому DOM.

Мыслительная часть

• JavaScript на странице: набор JS-инструментов, запускаемый внутри страницы, а не на хосте. Агент автоматизирует изнутри, машина, на которой он запущен, остаётся недосягаемой. Он внедряет вспомогательные JS-библиотеки в DOM-контекст и создаёт собственные JavaScript-инструменты для атак типа padding-oracle, time-based SQLi, десериализации...

• Встроенные навыки и списки слов: playbook'и и списки слов, вшитые в бинарник, выдаются по запросу по тегу. Навыки выбираются после fingerprint'а цели; списки слов, по своей природе большие, никогда не пересекают окно контекста — они обрабатываются на серверной стороне или перебираются внутри страницы.

Навыки: встроенные playbook'и, динамический выбор

Playbook'и находятся в бинарнике (go:embed над assets/skills/) и выдаются двумя инструментами:

• list_skills перечисляет доступные стеки (php, python, java, nodejs, ...).
• load_skill возвращает общий workflow без аргументов, или адаптированный playbook для стека, если назвать его (load_skill(["python"])).

Процесс: модель сначала получает общий workflow (чтобы знать свои возможности до того, как узнает цель), затем снимает fingerprint цели, после чего загружает соответствующий стек. Для полиглот-целей подходит; вызывайте снова, когда появятся новые стеки. Добавить стек — значит положить каталог assets/skills/<name>/ и пересобрать.

Быстрый старт

go build -o mulot ./cmd/mulot        # собрать бинарник MCP-сервера

# локальный llama.cpp
python3 agent.py  --provider llamacpp --model qwen3.6-mtp --base http://localhost:8080 \
  "взломай этот сервер http://localhost:4280/login.php и выведи только результат команды id и uname -a"

# zai token
export ZAI_API_KEY=...        
python3 agent.py --provider zai --model glm-5.2 "аудит http://localhost:8000"

agent.py — это небольшая обвязка из одного файла, которая управляет mulot через stdio MCP и общается с любым OpenAI-совместимым endpoint'ом с поддержкой вызова инструментов. Предустановки: openrouter, llamacpp, zai. Провайдер определяется автоматически по тому API-ключу, который есть в окружении.

Переменные окружения:

Результаты

Запуск агентов на открытых весах GLM-5.2 против задач по веб-пентесту с использованием только этой обвязки (максимум 120 шагов) дал следующие результаты:

OverTheWire (Natas): решено 87%

Root-Me (Web-Server): решено 73%

Многие неудачи были связаны с инструментарием песочницы mulot, который невозможно было переписать на чистом внутристраничном JavaScript (специфическая сериализация объектов, выигрыш гонок, некоторые криптооперации, взлом, перебор, внеполосные каналы).

Примеры цепочки рассуждений

Ответственное использование

mulot — это инструмент для атакующего тестирования, предназначенный только для авторизованного тестирования: систем, которыми вы владеете, задач, на которые у вас есть письменное разрешение, и специально уязвимых лабораторий, таких как OverTheWire, Root-Me или DVWA. Он проводит реальные атаки на любую цель, на которую вы его нацелите, поэтому наведение на систему, которой вы не владеете или на тестирование которой у вас нет явного разрешения, скорее всего, незаконно и не является поддерживаемым сценарием использования. Вы несёте ответственность за соблюдение рамок разрешений и закона. Релиз под лицензией Apache-2.0, без каких-либо гарантий.