PentesterFlow: agente CLI para testes de penetração assistidos por IA

PentesterFlow é um agente CLI de código aberto que segue um ciclo de planejar → agir → observar → verificar → relatar. Suporta LLMs locais e hospedados via Ollama, LM Studio, Gemini, Groq e APIs compatíveis com OpenAI.

O agente pode executar comandos shell, enviar solicitações HTTP, trabalhar com arquivos, ingerir e analisar tráfego capturado no Burp Suite e integrar ferramentas externas via MCP. Suas habilidades de playbook integradas cobrem recon, IDOR, SSRF, SSTI, JWT, GraphQL, condições de corrida, takeover de subdomínio e desserialização insegura.

Durante uma avaliação, o PentesterFlow rastreia combinações já testadas — endpoint + parâmetro + vulnerabilidade classe, para não repetir verificações idênticas. Achados confirmados são salvos como arquivos Markdown contendo solicitações, respostas, impacto, recomendações e um comando curl reproduzível.

Um recurso chave é o controle do operador. Operações perigosas requerem decisão allow once, allow session ou deny; um modo YOLO também está disponível, aprovando automaticamente ações que normalmente exigiriam confirmação. Esses prompts de permissão não devem ser tratados como limite de segurança estrito: a ferramenta é intencionalmente capaz de alcançar endereços internos e de metadados, ler arquivos e executar comandos do sistema quando autorizado pelo operador. Como o PentesterFlow pode executar comandos e modificar arquivos, é melhor executá-lo em ambiente isolado e usar estritamente dentro de um escopo explicitamente autorizado.

Ferramenta: https://github.com/PentesterFlow/agent