Repolode
Enviar
PentesterFlow

PentesterFlow/agent

CLI de IA agêntica com participação humana para pentesters, que executa reconhecimento, validação e geração de relatórios com evidências diretamente no terminal.

Alternativa open source a:Burp Suite

Ver no GitHubSite
Estrelas
1,404
Forks
274
Issues abertas
5
Último commit
há 2 meses

O que é?

PentesterFlow é um assistente de terminal open source para trabalhos autorizados de segurança ofensiva. Ele se conecta a LLMs locais ou hospedados, planeja ações dentro do escopo definido para um alvo, executa ferramentas reais de pentest — como comandos de shell e requisições HTTP — e solicita aprovação antes de ações sensíveis. Os achados são salvos em relatórios Markdown com evidências de requisições e respostas, comandos curl para reprodução, impacto e medidas de correção.

O projeto prioriza o controle do analista. Níveis de permissão (ask, auto-safe, yolo) e um modo de planejamento permitem que a pessoa defina o escopo e aprove etapas arriscadas. As skills integradas abrangem áreas como IDOR, SSRF, SSTI, JWT, GraphQL, condições de corrida e takeover de subdomínio. Uma integração com Burp Suite também permite enviar tráfego selecionado para a CLI e importar achados confirmados de volta como issues no Burp.

As sessões podem ser salvas e retomadas com um resumo do contexto anterior. Um sistema local de aprendizado armazena notas do projeto e pessoais em arquivos JSON Lines e Markdown, removendo segredos antes de gravá-los no disco. A ferramenta oferece suporte a Ollama, LM Studio, Anthropic, Gemini, Groq, DeepSeek, Kimi, OpenRouter e qualquer endpoint compatível com OpenAI, além de ser distribuída como binários independentes para macOS, Linux e Windows.

Recursos principais

  • 01Executa ferramentas de shell, HTTP e arquivos contra um alvo dentro do escopo, com etapas de aprovação.
  • 02Inclui playbooks de skills em Markdown para classes de vulnerabilidades web, como falhas de IDOR, SSRF e JWT.
  • 03Gera relatórios Markdown de achados confirmados, com evidências, PoC e medidas de correção.
  • 04Integra-se ao Burp Suite para enviar requisições e importar achados de volta.
  • 05Salva e retoma sessões, com memória persistente e snapshots de contexto.
  • 06Funciona com modelos locais via Ollama e LM Studio, além de várias APIs de LLMs hospedados.

Casos de uso

  • Testar uma API web autenticada em busca de falhas de controle de acesso, revisando cada requisição.
  • Fazer reconhecimento e enumeração de endpoints durante um trabalho e, em seguida, acompanhar lacunas de cobertura.
  • Transformar problemas reproduzidos em relatórios Markdown com comandos curl para entregar ao cliente.
  • Enviar tráfego capturado no Burp Suite a um assistente de IA para triagem e reprodução.

Início rápido

  1. 1

    Instale no macOS ou Linux

    curl -fsSL https://raw.githubusercontent.com/PentesterFlow/agent/main/install.sh | sh
  2. 2

    Baixe um modelo local com o Ollama

    ollama pull qwen2.5-coder:32b
  3. 3

    Inicie a CLI

    pentesterflow

Antes de usar

  • Use-o somente em sistemas que você tenha autorização explícita para testar, pois ele pode executar comandos de shell e enviar solicitações HTTP.
  • É necessário um backend de LLM: um modelo local via Ollama ou LM Studio, ou uma chave de API hospedada.
  • Modelos hospedados com menos de aproximadamente 70b podem não ser confiáveis para chamadas agênticas de ferramentas; para usar ferramentas, os modelos locais devem ter 14b ou mais.

Tópicos

#penetration-testing#ai-agents#security-audit#bug-bounty#cli#llm#burp-suite#ai#bugbounty#security-automation

Perguntas frequentes

O que é agent?
CLI de IA agêntica com participação humana para pentesters, que executa reconhecimento, validação e geração de relatórios com evidências diretamente no terminal. PentesterFlow é um assistente de terminal open source para trabalhos autorizados de segurança ofensiva. Ele se conecta a LLMs locais ou hospedados, planeja ações dentro do escopo definido para um alvo, executa ferramentas reais de pentest — como comandos de shell e requisições HTTP — e solicita aprovação antes de ações sensíveis. Os achados são salvos em relatórios Markdown com evidências de requisições e respostas, comandos curl para reprodução, impacto e medidas de correção.
agent é gratuito? Qual é a licença?
agent é open source sob a licença Apache-2.0. Confira os termos da licença antes de usá-lo em produtos comerciais.
agent ainda é mantido?
Atualizado nos últimos 6 meses. O último commit de agent foi em 31 de ago. de 2026.
Para que posso usar agent?
Testar uma API web autenticada em busca de falhas de controle de acesso, revisando cada requisição. Fazer reconhecimento e enumeração de endpoints durante um trabalho e, em seguida, acompanhar lacunas de cobertura. Transformar problemas reproduzidos em relatórios Markdown com comandos curl para entregar ao cliente. Enviar tráfego capturado no Burp Suite a um assistente de IA para triagem e reprodução.
Como instalar agent?
Instale no macOS ou Linux: curl -fsSL https://raw.githubusercontent.com/PentesterFlow/agent/main/install.sh | sh Baixe um modelo local com o Ollama: ollama pull qwen2.5-coder:32b Inicie a CLI: pentesterflow
Onde consigo agent?
O código-fonte e as instruções de instalação estão no GitHub: https://github.com/PentesterFlow/agent

Resumo gerado por IA a partir do README do projeto. As estatísticas do GitHub são atualizadas diariamente.

Projetos relacionados