adithyan-ak/AgentHound

Offensive security framework for AI agent infrastructure - recon, credential looting, model exfiltration, poisoning, and attack-path analysis across MCP, A2A, gateways, and AI services. BloodHound for the agentic stack.

AgentHound – AIエージェントインフラストラクチャ向けオフensiveセキュリティフレームワーク

何であるか – AgentHoundは、赤チームオペレーターが現代のLLMベースのアシスタント（Claude、Cursor、VS Code拡張、Ollama、LiteLLM、Qdrant、MLflow、Jupyterなど）を構成する「エージェントスタック」全体を列挙・検証・攻撃できるオープンソースツールです。コンプライアンスホスト上のフットホールドから動作し、設定ファイル、シークレット、到達可能なAIサービスを収集し、発見された資格情報を再利用し、実際のアクセスを検証し、すべてを1つのチェックポイント付きJSONアーティファクトに保存します。オプションのサーバーはそのアーティファクトをインポートし、資格情報チェーン、実行および情報漏洩経路、リスクスコアを含むグラフベースの攻撃表面ビューをWeb UIで提供します。

コアワークフロー

静的コレクタのデプロイ – 攻撃されたマシンに静的バイナリ（単一のバイナリ、DBやランタイム依存なし）を配置します。
agenthound scan の実行 – コレクタはローカルのエージェント設定、環境シークレット、ループバックサービス、および（オプションで）ネットワーク範囲を収集します。AIサービスをファINGERプリントし、取得したAPIキーまたはトークンを再利用し、検証済みの読み取り（匿名から始まり、次に資格情報付き）を実行してアクセスを証明します。
JSONアーティファクトの生成 – すべての資格情報、サービスファINGERプリント、アクセス証明、各ステップ後のチェックポイントを含むアーティファクトを出力します。
（オプション）分析サーバーの起動 – 別のマシンでサーバーを起動し、アーティファクトをインポートし、Web UIを通じてNeo4jバックエンドの攻撃グラフを探索します。グラフは到達可能なリソース、実行能力、情報漏洩経路、クロスプロトコルピボット、汚染された指示ファイルを表示します。

主な機能

機能	機能内容
フットホールド優先の自律的収集	リモートデータベースを必要とせず、ローカルのエージェント設定ファイル、指示ファイル、環境変数、ループバックサービス、明示的に提供されたネットワーク範囲を収集します。
生の資格情報の収集と再利用	APIキー、ベアラー・トークン、Jupyterトークン、マスターキーなどの具体的なシークレットを重複除去して保存し、同じスキャン中に発見された互換性のあるサービスに即座に試行します。
証明ベースのアクセス検証	先に匿名読み取りを実行；失敗した場合、資格情報付きで再試行。資格情報付きの読み取りが成功した場合、スキャン中に検証済みとして記録されます。
逆転可能なアクティブ検証	ContextForge管理ツールの場合、一時的なマーカーを書き込み、MCP経由で読み取り、元の状態を復元します。ロールバックが確認された後、処理を継続します。
フルスケールのエージェント表面マッピング	MCP、A2A、12種類のエージェントクライアント設定形式、モデルゲートウェイ、推論サーバー、ベクトルストア、モデルレジストリ、ノートブック、Webインターフェースを1つの接続されたターゲットセットとして検出・インベントリ化します。
深層のサービス・モデルインテリジェンス	Ollamaモデル、modelfiles、プロンプトをリストアップ；LiteLLMの資格情報参照を抽出；MLflowの実験を列挙；Qdrantコレクションを発見；Jupyterセッションを検査。deepモードでは、Ollamaの埋め込みリクエストを制限付きで実行し、計算アクセスを証明できます。
グラフネイティブな攻撃パス分析	サーバーは、信頼関係、認証、資格情報再利用、ツール能力、観測された証拠をリンクするNeo4jグラフを構築します。オペレーターは到達可能性、実行、情報漏洩、なりすまし、汚染、その他をクエリできます。
アクセス喪失への耐性	コレクタは各意味のあるアクション後にアーティファクトをチェックポイントします；変更が失敗した場合、ロールバックし、最後のチェックポイントから再開できます。

動作モード

モード	動作内容
`agenthound scan`（デフォルト）	アクティブ収集：資格情報再利用、MCP検証、逆転可能なContextForge検証、および該当する場合のモデル呼び出し。
`agenthound scan --deep`	再帰的な指示発見、制限付きQdrantポイント読み取り、Ollama埋め込み検証などの高コストなサービスプローブを追加。
`agenthound scan --stealth`	読み取り専用収集：クロスターゲット資格情報再利用なし、モデル/ツール呼び出しなし、変更なし。匿名読み取りと正確な設定読み取りのみ実行。
`agenthound scan --stealth --deep`	stealthと同様だが、非対話的収集を維持しつつ、深層のファイルシステム読み取りを実行。

クイックスタート（READMEから）

# 静的バイナリのインストール（macOS/Linux、amd64/arm64）
curl -sSfL https://raw.githubusercontent.com/adithyan-ak/agenthound/1.1.1/install.sh \
  | AGENTHOUND_VERSION=1.1.1 sh
export PATH="$HOME/.local/bin:$PATH"

# フットホールドから基本スキャンを実行
agenthound scan --output scan.json

# オプション：Docker Composeで分析サーバーを起動
curl -sSfL https://raw.githubusercontent.com/adithyan-ak/agenthound/1.1.1/docker/docker-compose.public.yml \
  -o agenthound-compose.yml
docker compose -f agenthound-compose.yml -p agenthound up -d --wait
docker compose -f agenthound-compose.yml -p agenthound exec -T agenthound \
  agenthound-server ingest - < scan.json

# UIを開く
open http://127.0.0.1:8080

スキャンで得られる成果

見つかった内容	解決する例の質問
検証済み資格情報アクセス	どの正確なシークレットがどのMCPリソースへのアクセスを証明しましたか？
資格情報チェーン経路	取得したAPIキーがエージェント設定とモデルゲートウェイをどのように接続していますか？
到達可能性	現在の信頼関係と認証リンクに従って、どのサービスに到達できますか？
実行経路	どのエージェントがシェルやデータベースツールを呼び出せますか？
情報漏洩経路	環境外に機密データを送信できる場所はどこですか？
クロスプロトコルピボット	A2A委任を使ってベクトルストアに到達できますか？
指示の汚染	どの指示ファイルにプロンプトインジェクションや汚染されたコンテキストの証拠がありますか？
ツールの影付き／rug pulls	期待される機能を乗っ取る可能性のある類似ツールはありますか？
認証不要の表面	どのサービスが認証なしでデータを公開していますか？
リスクホットスポット	どのノードや経路が最も高い影響スコアを持っていますか？

セキュリティとOPSECの注意点（READMEより）

許可された使用のみ – 所有するシステムまたは明示的な許可を得たシステムに対してのみ実行してください。
アクティブモードは資格情報再利用と逆転可能な変更を実行します；隠密性が必要な場合は --stealth を使用して読み取り専用収集を行ってください。
ハード除外（--exclude）は、触れてはいけないホストやURLへの誤操作を防ぎます。
即時回復 – すべての変更は次のステップ前に元に戻されます；クリーンアップに失敗した場合、アーティファクトに状態が記録されるため、安全に再試行できます。
平文の証拠 – JSONアーティファクトには生のシークレットと応答が含まれます；Web UIはデフォルトでマスクしますが、クリックで表示できます。

ドキュメントと貢献

全ドキュメント： https://docs.agenthound.io
クイックスタート、スキャナ、CLI、攻撃パス、デプロイ、セキュリティガイドはすべて docs/ フォルダ内にあります。
新しいサービスをサポートするモジュールを追加できます；CONTRIBUTING.md および docs/contributing/modules.md を参照してください。
Apache-2.0ライセンス；脆弱性報告は SECURITY.md へ。

結論 – AgentHoundは、現代のLLM駆動アシスタントをネットワーク化された攻撃表面として扱う、目的に特化したオフensiveフレームワークです。資格情報収集、証明ベースの検証、グラフレベルの分析を自動化し、赤チームが1つのアーティファクトと視覚的UIでエージェントスタック全体を理解・攻撃できるようにします。