Prohao42/aimy-skill

解決する課題

aimy-skill は、脆弱性の発見（バグハンティング）と攻撃チェーンの実行を自動化するために設計された、AIネイティブなペネトレーションテストツールキットです。各ツールにカスタム開発を必要とせず、AIが偵察から武器化までの複雑なセキュリティタスクを実行できるようにする標準化されたインターフェースを提供することで、AIエージェントとセキュリティツールの間のギャップを埋めます。

仕組み

このツールキットは、AIエージェント（Claude Code、AutoGPT、Cursorなど）が呼び出したり、ユーザーが手動で呼び出したりできる一連の「スキル」（合計103個）とCLIコマンド（87個）として動作します。構造化されたJSONを返す統一された check() インターフェースを使用するため、AIが解析してアクションを起こしやすくなっています。

そのアーキテクチャは、いくつかのレイヤーで構成されています。

• 発見と偵察: ポートスキャン、ディレクトリファジング、クローリング。
• インジェクション検出: SQLi、XSS、SSRF、コマンドインジェクションなどに特化したモジュール。
• 認証とロジック: JWT分析、認証バイパス、ビジネスロジックの欠陥検出（競合状態など）のためのツール。
• 武器化: SQLiからデータを抽出したり、SSRFを介して横移動したりするモジュール。
• WAFバイパス: セキュリティフィルタを回避するためのフィンガープリンティングシステムと16のエンコーダ。
• オーケストレーション: これらのステージを完全に自動化された「ハント」または「ディープスキャン」プロセスにチェーンできるエンジン。

対象読者

• ペネトレーションテスター: 攻撃チェーン全体を自動化し、レポートを生成するため。
• AIエージェント開発者: 構造化された出力を持つプラグアンドプレイのセキュリティツールキットを必要とする方。
• セキュリティ研究者: 高度な武器化とWAFバイパステストのため。
• CTFプレイヤー: 迅速な脆弱性検証のため。
• エンタープライズセキュリティチーム: 自動化されたセキュリティパイプラインをCI/CDに統合するため。

ハイライト

• AIエージェントネイティブ: 構造化されたJSON出力と統一APIを備え、AIエージェント向けに特別に設計されています。
• 包括的な攻撃チェーン: 偵察とインジェクションから武器化とWAFバイパスまですべてをカバーします。
• 高度なSQLiエンジン: バイナリサーチ、OOBチャネル、DBMS固有のペイロードライブラリを使用したブラインドSQLiをサポートします。
• WAF回避: 14のWAFフィンガープリントと複数のエンコーディング戦略が含まれています。
• 自動化されたワークフロー: エンドツーエンドの自動ペネトレーションテストのための deepscan および autohunt コマンドを備えています。