Introduction
PentAGI est un système multi-agents entièrement autonome et auto-hébergé pour le pentest.
PentAGI est une plateforme open source dédiée aux tests de sécurité automatisés. Vous décrivez une cible et un objectif en langage naturel ; une équipe d’agentsagentUn agent IA de PentAGI : un modèle avec son propre prompt, ses paramètres et ses outils, qui effectue un type de travail spécifique dans un flow, comme tester, écrire du code ou rechercher sur le web. IA spécialisés planifie le travail, exécute des toolstool — outilCe par quoi un agent agit : une capacité intégrée comme le terminal, le navigateur isolé ou la recherche web, ou un programme du sandbox comme nmap, metasploit ou sqlmap. professionnels dans une sandboxsandboxLe conteneur Docker isolé dans lequel les agents exécutent leurs outils. L'interface l'affiche comme Terminal. Docker isolée, mémorise les apprentissages réalisés et vous remet un reportreport — rapportLe document que PentAGI rédige à propos d'un flow et de ses constats. Dans Enterprise, c'est un document prêt pour le client, construit à partir d'un template..
Elle est conçue pour les ingénieurs en sécurité, les chercheurs et les red teams qui souhaitent disposer d’un assistant autonome qu’ils peuvent exécuter sur leur propre infrastructure, avec les modèles de langage de leur choix.
Démarrage rapide
Installer PentAGI à l’aide de l’installateur interactif.
Votre premier flow
Exécuter un flow autonome et consulter son report.
Architecture
Services, agents, memory et observabilité.
LLM providers
Connecter des modèles cloud, via une passerelle ou locaux.
Fonctionnalités
- Tests autonomes. Les agents décomposent chaque tasktask — tâcheUne requête dans un flow : son premier message, ou un message ultérieur qui ne répond pas à une question d’un agent. PentAGI divise chaque tâche en sous-tâches. que vous leur confiez en subtaskssubtask — sous-tâcheUne étape d’une tâche. PentAGI planifie les sous-tâches de chaque tâche et les ajuste au fil du travail., choisissent l’étape suivante, l’exécutent et s’adaptent aux résultats — avec une surveillance optionnelle de l’exécution et une planification intelligente de task pour les modèles plus petits.
- Une équipe de spécialistes. Un agent principal délègue la recherche, le codage, l’installation et le pentestpentest — test d'intrusionUn test d'intrusion : une tentative autorisée de pénétrer dans des systèmes afin d'y trouver leurs faiblesses. à des agents spécialisés. Les agents peuvent demander des conseils à un adviser, et lorsque la surveillance de l’exécution est activée, l’adviser examine également leur travail après un nombre défini de tool callstool call — appel d’outilUne demande du modèle d’exécuter l’un des outils de l’agent, comme une commande terminal ou une recherche web.. Un reflector oriente tout agent qui cesse d’effectuer des tool calls vers un résultat approprié.
- Tools professionnels. Plus de 20 tools tels que nmap, metasploit et sqlmap s’exécutent dans un conteneur sandbox, construit à partir d’une image Docker sélectionnée pour chaque flowflowUn flow de PentAGI : un objectif, les tâches créées à partir de vos messages et tout ce que les agents ont fait en cours de route..
- Memory et connaissances. Les résultats et les approches efficaces sont stockés dans PostgreSQL avec pgvector pour être réutilisés ultérieurement ; un knowledge graphknowledge graph — graphe de connaissancesLe graphe des hôtes, services, vulnérabilités et des accès entre eux que PentAGI construit pendant un test lorsque cette fonctionnalité optionnelle est activée. Il montre comment les constats sont reliés. Neo4j optionnel suit les relations entre les hôtes, les services et les findingsfinding — constatQuelque chose que le test a découvert et enregistré, comme un hôte, un service en cours d'exécution ou une vulnérabilité..
- Renseignement web. Un navigateur isolé intégré et des search enginessearch engine — moteur de rechercheUn service de recherche web que les agents utilisent pour recueillir des informations récentes, comme DuckDuckGo, Google ou Tavily. — Tavily, Firecrawl, Traversaal, Perplexity, DuckDuckGo, Google, Sploitus et SearXNG — collectent des informations actualisées.
- Observabilité. Langfuse pour les traces LLM, ainsi que Grafana avec OpenTelemetry, VictoriaMetrics, Jaeger et Loki pour l’ensemble du système.
- APIs. REST et GraphQL avec jetons Bearer pour l’automatisation et l’intégration.
Regarder la présentation
Une courte visite guidée de PentAGI en action : regardez-la sur YouTube.
Limites actuelles des capacités
- PentAGI est une plateforme de pentest autonome et assistée, et non un produit de simulation de brèche et d’attaque proposant des campagnes prédéfinies.
- Les reports de flows peuvent être consultés sur le web, copiés, ou téléchargés au format Markdown ou PDF.
- Les providersprovider — fournisseurUn service ou un serveur qui fournit ses modèles de langage à PentAGI, comme OpenAI, Anthropic ou un Ollama local. sont disponibles sous forme d’intégrations natives et via des points de terminaison personnalisés compatibles OpenAI.
Ne testez que des systèmes dont vous êtes propriétaire ou pour lesquels vous disposez d’une autorisation explicite d’évaluation. L’utilisation de PentAGI est soumise au CLUF.
Dernière mise à jour le