bugbasesecurity/pentest-copilot

解決的問題

Pentest Copilot 是一款 AI 驅動的滲透測試代理，旨在實現安全測試這一複雜且迭代過程的自動化。它消除了執行工具、分析結果以及決定安全測試下一步行動的人工投入，使用戶只需描述目標，即可讓 AI 代理自主執行攻擊鏈。

工作原理

該系統連接到 Kali Linux attack box 並作為代理循環運行。AI 會分析目標，從包含 100 多種能力的精選註冊表中選擇工具，安裝必要的套件，並直接在機器上執行命令。它可以生成子代理來並行執行任務（例如：子網域列舉和目錄暴力破解），並與 Burp Suite 等專業工具整合，用於代理和帶外測試。它還具有用於與重 JavaScript 應用程式互動的瀏覽器代理，以及用於連接目標網路的 VPN 管理功能。

適用對象

希望利用能夠自主執行工具和分析結果的 AI 代理來增強工作流程的安全研究人員、滲透測試人員和 CTF (Capture The Flag) 選手。

亮點

• 代理執行：自主執行命令、讀取輸出，並進行多達 25 輪的迭代。
• 廣泛的工具集：包括 16 個核心代理工具以及涵蓋網路、pwn、crypto 和鑑識領域的 100 多種安全能力註冊表。
• Burp Suite 整合：直接訪問 Proxy history、Repeater、Intruder 和 Collaborator。
• 瀏覽器自動化：透過 Magnitude 進行真實的瀏覽器互動，以測試登入流程和重 JavaScript 應用程式。
• 並行處理：能夠生成子代理以進行並行任務執行。
• 模型靈活性：支援 OpenAI、Anthropic、Google、Mistral 以及 Codex 和 Claude Code 等本地 CLI 訂閱。
• 安全控制：對於遞迴刪除等危險命令需要顯式批准。
• MCP 存取：透過模型上下文協定 (MCP) 向外部用戶端公開其控制平面。