bugbasesecurity/pentest-copilot

解决的问题

Pentest Copilot 是一款 AI 驱动的渗透测试代理，旨在实现安全测试这一复杂且迭代过程的自动化。它消除了运行工具、分析结果以及决定安全测试下一步行动的人工投入，使用户只需描述目标，即可让 AI 代理自主执行攻击链。

工作原理

该系统连接到 Kali Linux attack box 并作为代理循环运行。AI 会分析目标，从包含 100 多种能力的精选注册表中选择工具，安装必要的软件包，并直接在机器上执行命令。它可以生成子代理来并行运行任务（例如：子域名枚举和目录暴力破解），并与 Burp Suite 等专业工具集成，用于代理和带外测试。它还具有用于与重 JavaScript 应用交互的浏览器代理，以及用于连接目标网络的 VPN 管理功能。

适用对象

希望利用能够自主执行工具和分析结果的 AI 代理来增强工作流程的安全研究人员、渗透测试人员和 CTF (Capture The Flag) 选手。

亮点

• 代理执行：自主运行命令、读取输出，并进行多达 25 轮的迭代。
• 广泛的工具集：包括 16 个核心代理工具以及涵盖网络、pwn、crypto 和取证领域的 100 多种安全能力注册表。
• Burp Suite 集成：直接访问 Proxy history、Repeater、Intruder 和 Collaborator。
• 浏览器自动化：通过 Magnitude 进行真实的浏览器交互，以测试登录流程和重 JavaScript 应用。
• 并行处理：能够生成子代理以进行并发任务执行。
• 模型灵活性：支持 OpenAI、Anthropic、Google、Mistral 以及 Codex 和 Claude Code 等本地 CLI 订阅。
• 安全控制：对于递归删除等危险命令需要显式批准。
• MCP 访问：通过模型上下文协议 (MCP) 向外部客户端公开其控制平面。