📱Pentestkit.

Pentestkit - это мультиагентный фреймворк для автоматизированного проведения тестов на проникновение (пентестов) и решения CTF-задач, построенный на базе Claude Agent SDK.

Фреймворк объединяет команду специализированных ИИ-агентов, которые под управлением оркестратора исследуют цель, находят потенциальные уязвимости, подтверждают их реальным воспроизведением (PoC), оценивают критичность по стандарту CVSS v3.1 и формируют готовый клиентский отчет.

🔹Архитектура и пайплайн работы:

🔘Orchestrator: Проводит первичную разведку и формирует детальный план тестирования в общей базе знаний.

🔘Scope Agents: Набор узкопрофильных агентов для параллельного поиска по направлениям (разведка, аутентификация, инъекции, контроль доступа, SSRF/XXE, бизнес-логика и др.).

🔘Verifier (Агент-валидатор): Ключевой шлюз верификации. Скептически проверяет каждую найденную кандидатуру и пытается её воспроизвести. Если уязвимость не подтверждается — она отклоняется, что сводит к минимуму ложные срабатывания (False Positives).

🔘CVSS Scorer & Reporter: Присваивает проверенным багам обоснованный вектор CVSS v3.1 и генерирует структурированный отчет report.md с описанием шагов воспроизведения.

🔻Ключевые возможности:

🔘100% на бенчмарках XBOW: Успешно решил 104 из 104 изолированных CTF веб-челленджей разной сложности с автоматическим захватом флагов.

🔘Scope Guard: Жесткий контроль области тестирования — каждый исходящий сетевой пакет проходит через единую точку фильтрации для предотвращения выхода за рамки согласованного скоупа.

🔘Встроенный OAST: Поддержка out-of-band коллбеков для надежной фиксации «слепых» уязвимостей (Blind SSRF, XXE, Blind SQLi, RCE).

🔘Воспроизводимые PoC: Сохранение всех запросов и ответов (evidence/), а также полный аудит каждого шага в context.json.

🔘Гибкость моделей: Из коробки настроен на работу с моделями kimi-k3 через API Moonshot, а также поддерживает всю линейку Claude (Anthropic).

💻Быстрый запуск:

# Проверка правил области видимости (Scope Guard)
python pentest.py check --engagement engagements/example.yaml --url http://127.0.0.1:3000/api

# Запуск полного аудита с интерактивным подтверждением авторизации
python pentest.py run --engagement engagements/example.yaml

# Запуск консоли мониторинга (Fleet, Benchmarks, Traces)
python pentest.py console --port 8500

⚠️Важно: Инструмент предназначен исключительно для аудита систем и инфраструктуры, на тестирование которых получено официальное разрешение владельца.

#Pentestkit #CyberSecurity #AppSec #Pentest #InfoSec #AIAgents #Claude #Python #OpenSource #DevSecOps #CTF

📱Ссылка на репозиторий:
https://github.com/lordx64/pentestkit