LIMB
Вход Регистрация

тема

AI Agent для пентеста

Member19 · · 13 ответов · 723 просмотров

К разделу
Добрый день!
Посовейтуйте, пожалуйста, ИИ агента для автопентеста. Желательно бесплатный вариант , за деньги тоже рассматриваю.
Спасибо!
👍54 😁12 😮9 👏8 🤔6 😢16
Пробовал скачивать с гитхаба?
Здесь в разделе аж де поделки китайские. я пробовала.
Как-то работает.
👍2
ОтветMember19

Добрый день! Посовейтуйте, пожалуйста, ИИ агента для автопентеста. Желательно бесплатный вариант , за деньги тоже рассматриваю. Спасибо!

Hexastrike AI -> https://github.com/0x4m4/hexstrike-ai
CyberStrike -> https://github.com/CyberStrikeus/cyberstrike
PentAGI -> https://github.com/vxcontrol/pentagi
PentestGPT -> https://github.com/GreyDGL/PentestGPT
hackingBuddyGPT -> https://github.com/ipa-lab/hackingBuddyGPT
AutoPentest-DRL -> https://github.com/cybermind/AutoPentest-DRL
CyberBattleSim -> https://github.com/microsoft/CyberBattleSim
CALDERA -> https://github.com/mitre/caldera
OpenHands -> https://github.com/All-Hands-AI/OpenHands
AutoGPT -> https://github.com/Significant-Gravitas/AutoGPT
Agent Zero -> https://github.com/frdel/agent-zero
Open Interpreter -> https://github.com/OpenInterpreter/open-interpreter
SWE-agent -> https://github.com/princeton-nlp/SWE-agent
👍5 ❤️1
Интересно было бы их потестировать на определенном пакете софта.

И выводы табличкой.
Ибо по отзывам - что-то устарело, что-то не тянет по мощностям, а что-то примитивно.
Кстати, список неполный.
👍3
Ответlisa99

Интересно было бы их потестировать на определенном пакете софта. И выводы табличкой. Ибо по отзывам - что-то устарело, что-то не тянет по мощностям, а что-то примитивно. Кстати, список неполный.

What do you mean by "software package"?

The entire arsenal has been tested. What is “outdated” is intended for specific tasks; there is nothing to update or improve in them. The first 3 items on the list are TOP, have a community and are updated regularly.

There is nothing stopping you from adding to the list. Almost every day new products or MCPs are released, the list can never be complete or finite.
ОтветUpstream

What do you mean by "software package"?

«Software package» = конкретный стек (например, PayloadCMS + Next.js).
Это то с чем я возилась неделю.



ОтветUpstream

The entire arsenal has been tested. What is “outdated” is intended for specific tasks; there is nothing to update or improve in them. The first 3 items on the list are TOP, have a community and are updated regularly.

SAST/DAST/интерактив - да, первые три это делают.
Но есть и другие моменты.

Мои претензии к «TOP-3» из практики:
1) FP Rate (false positive, ложные алерты). На живом коде зашкаливает. Ручная верификация каждого алерта съедает весь профит и всю прелесть автоматизации.

2) Слепота к абстракциям. Инструменты видят fetch(), но не видят, что в PayloadCMS это обернуто в access-контроль и серверные валидаторы. Результат: находки есть, эксплойтов нет.

3)Отсутствие Data Flow через фреймворк. Они не строят граф вызовов внутри специфики CMS, поэтому пропускают уязвимости, существующие только на стыке компонентов.

Я предлагаю не «добавлять в список», а сравнить на едином полигоне. Берем репозиторий PayloadCMS, прогоняем Hexastrike/CyberStrike/PentAGI и мою связку (Semgrep + GLM + кастомный верификатор - которой я бросила заниматься =\). Считаем не «количество найденных CVE»,  а FP/TP Ratio

Если TOP-3 действительно топ  они покажут результат. Если нет,  мы получим честную таблицу.

=====


Спойлер: Основные сложности, специфичные для PayloadCMS
Абстракция доступа: Логика прав (access) отделена от бизнес-логики. Уязвимость часто кроется не в самом обработчике, а в том, как overrideAccess или дефолтные права пропускают запросы. Статика это видит плохо.
Динамическая генерация API: Роуты создаются на лету из конфига (collections, globals). Нет жесткого маппинга «файл → URL», поэтому стандартные сканеры теряют связь между source и sink.
Next.js App Router + Server Actions: Смешение клиентского и серверного кода. Трудно определить, где именно выполняется код (и выполняется ли он вообще на сервере), без глубокого понимания границ компонентов.
Встроенные санитайзеры и валидаторы: Payload агрессивно фильтрует ввод до попадания в хуки. LLM часто не знает о внутренних механизмах очистки и выдает False Positive на уже защищенные стоки.
Локальный API vs HTTP API: Функции вроде payload.create() безопасны при вызове из кода (trusted), но становятся уязвимыми, если пробрасываются наружу без проверки. Контекст вызова критичен, но неочевиден из статического анализа одного файла.
[*]
👍4
Ответlisa99

«Software package» = конкретный стек (например, PayloadCMS + Next.js).

This is an environment a setup, web tech, not a "software package". There may also be differences in versions of any web application; in the context of a automated pentest, this does not matter.
Ответlisa99

Мои претензии к «TOP-3» из практики

Hhhhha :D 
Either this is not from practice, or you don’t have enough practice. Rather, these are your desires, a wishlist, as you say in Russian: “моя хотелка”. In “combat” conditions and in the wild, there is no complete universal automation of all tasks for the entire range of possible actions that you perform while the program is running on the fly.
You can customize them for yourself, adding tasks for individual agents and work processes, distributing roles with tasks for subagents.
You want all your unformulated needs met out of in-the-box? :D
Ответlisa99

Я предлагаю не «добавлять в список», а сравнить на едином полигоне.

In the context of the question from the starting message, there are no such tasks and the person who asked the question does not need this.
This is a conversation for a separate topic and even an article. Not within the scope of one question. This is your next “хотелка”, but if you have time, do it and I’ll be the first to get acquainted with the material. Best regards
ОтветUpstream

Hexastrike AI -> https://github.com/0x4m4/hexstrike-ai CyberStrike -> https://github.com/CyberStrikeus/cyberstrike PentAGI -> https://github.com/vxcontrol/pentagi PentestGPT -> https://github.com/GreyDGL/PentestGPT…

красавчик)) уважаю таких людей,единственный кто не пожлобился.
👍3
ОтветMember19

Добрый день! Посовейтуйте, пожалуйста, ИИ агента для автопентеста. Желательно бесплатный вариант , за деньги тоже рассматриваю. Спасибо!

Попробуй опенклав + квин, если железо позволяет на локалке запустить утюжок, LLM тебе в помощь, я работаю на курсоре, это все что могу сказать.)
👍1
Ответlisa99

«Software package» = конкретный стек (например, PayloadCMS + Next.js). Это то с чем я возилась неделю. SAST/DAST/интерактив - да, первые три это делают. Но есть и другие моменты. Мои претензии к «TOP-3» из практики: 1)…

Раньше когда полагались на автоматику, юзал окунь и все на этом, но потом когда этот софт начал тупо игнорировать язвы, запустил его через бюрп, сделал некий комбайн, снифил все что проходило через него, и сразу видел пайлоады, потом через бюрп отрабатывал все реквесты, и репитер наше все, + рекомендация, дополнительный фаззинг параметров, это если рассматривать работу исключено из практики на sql инъекциях, это сейчас многие избалованы агентами
👍2
Спасибо за ответы, очень позновательно. Мне товарищ накидал ссылок, я изучаю их. Спасибо @Upstream
👍1
Здравствуйте я не очень понял этот IA авто пентестер 
ОтветShady

Раньше когда полагались на автоматику, юзал окунь и все на этом, но потом когда этот софт начал тупо игнорировать язвы, запустил его через бюрп, сделал некий комбайн, снифил все что проходило через него, и сразу видел…

что
👍1

Гостевой просмотр. Чтобы отвечать и ставить реакции, войдите или зарегистрируйтесь.