mulot

驱动浏览器的Agentic AI Web渗透测试工具。

一个开放权重的LLM（GLM-5.2、Gemma或Qwen）通过Burp风格工具集驱动真正的无头Chromium，以人类渗透测试人员的方式对目标进行工作。

无需前沿模型，也无需在Kali虚拟机内运行agent。

_{侦察 → 编写自己的JavaScript payload → 命令注入 → 获取flag。}

仅使用此 harness，开放权重的GLM-5.2 agent解决了 87% 的 OverTheWire Natas 和 73% 的 Root-Me Web-Server（完整表格见下文）。

• 真实浏览器，不仅仅是HTTP：真实的登录流程、JS密集型应用以及基于DOM的XSS。
• Burp形状的原语：流量历史记录、Repeater、Intruder、被动扫描。
• 无前沿API，无VM内agent：Qwen 3.6 27B可用；GLM-5.2是理想选择。

理念

agent不仅仅是模型，工具往往比参数数量更重要。

模型已经阅读了安全文献——拦截代理、请求历史、站点地图、对插入点进行模糊测试。Burp、ZAP、mitmproxy、Fiddler——它们的词汇和操作已经存在于模型训练所用的语料库中。

因此 mulot 将 harness 塑造成精确暴露 那些原语 的形式。

两大部分

mulot 分为两部分：一个代理，用于捕获和重放每一次交互；以及一个思考层，用于在目标页面内运行 agent 自己的代码。

代理部分

• 流量日志（History）：每次HTTP交互都会存储在一个始终在线的SQLite数据库中，可查询并可重放。捕获通过浏览器的CDP协议进行，因此HTTPS已经解密读取——无需拦截证书，无需真正的中间人攻击。

• 请求编辑器（Interceptor/Repeater）：从URL重建一个请求，或从捕获的流中重新植入一个请求，篡改它，然后重新发出，不受浏览器CORS规则限制。

• HTTP模糊测试（Intruder）：一个标记的插入点，一组轮流替换的payload，以及基于状态、长度或正则表达式的匹配条件。

• 扫描（Passive scan）：对同一个日志和实时DOM进行被动和主动扫描。

思考部分

• 页面内JavaScript：一个在页面内部运行的JS工具箱，而非在主机上运行。Agent 从内部自动化，运行它的机器保持不可触及。它将辅助JS库注入到DOM上下文中，并创建自己的JavaScript工具，用于填充预言攻击、基于时间的SQL注入、反序列化等。

• 嵌入式技能与字典：编译进二进制文件中的playbook和字典，按标签按需提供。技能在目标指纹识别后选取；字典本质上是大型的，永远不会超过上下文窗口——它们在服务端消耗或在页面内迭代。

技能：嵌入式playbook，动态选择

Playbook位于二进制文件中（go:embed 覆盖 assets/skills/），并通过两个工具提供：

• list_skills 枚举可用的技能栈（php、python、java、nodejs……）。
• load_skill 在不带参数时返回共享工作流，在指定栈名时返回该栈的定制playbook（load_skill(["python"])）。

流程：模型首先获取共享工作流（这样它在了解目标之前就知道自己的能力），然后对目标进行指纹识别，接着加载匹配的栈。多语言目标也没问题；当更多栈出现时再次调用即可。添加一个栈只需放置一个 assets/skills/<name>/ 目录并重新构建。

快速开始

go build -o mulot ./cmd/mulot        # 构建MCP服务器二进制文件

# 本地 llama.cpp
python3 agent.py  --provider llamacpp --model qwen3.6-mtp --base http://localhost:8080 \
  "pwn this server http://localhost:4280/login.php and output only id and uname -a command"

# zai token
export ZAI_API_KEY=...        
python3 agent.py --provider zai --model glm-5.2 "audit http://localhost:8000"

agent.py 是一个小型单文件harness，通过stdio MCP驱动mulot，并与任何支持工具调用的OpenAI兼容端点通信。预设：openrouter、llamacpp、zai。提供程序会根据环境中的API密钥自动检测。

环境变量：

结果

使用开放权重GLM-5.2 agent仅凭此harness（最大120步）针对Web渗透测试挑战进行攻击，取得了强劲的结果：

OverTheWire (Natas)：87% 已解决

Root-Me (Web-Server)：73% 已解决

许多失败源于mulot的沙箱工具无法用纯页面内JavaScript重写（特定对象序列化、竞态条件获胜、某些加密操作、破解、暴力破解、带外通道）。

推理链示例

负责任的用法

mulot是一款用于授权测试的进攻性安全工具：仅限您拥有的系统、您获得书面许可的评估，以及故意存在漏洞的实验室（如OverTheWire、Root-Me或DVWA）。它会对您指向的任何目标发动真实攻击，因此将其指向您不拥有或未明确授权测试的系统很可能是非法的，并且不被支持。您有责任确保操作在合法范围内并遵守法律。基于Apache-2.0发布，不提供任何担保。