Part 01
PentesterFlow
PentesterFlow是一款新型开源命令行工具，采用人在回路（human-in-the-loop）的 Agentic AI 设计，专为渗透测试者和漏洞赏金猎人打造。其目的是自动化从侦察到报告编写的工作流，同时不牺牲分析师对过程的监督。
大部分Agentic AI安全工具都存在幻觉报告、上下文记忆弱以及工具集成差的问题。但 PentesterFlow 则正面应对这些挑战：内置渗透测试 skills（技能），基于证据确认发现，并支持持续的本地学习。
该工具可以连接本地或托管的大语言模型，针对限定目标规划操作，执行真实攻防安全工具，并在运行敏感命令前必须获得分析师明确批准。
这种“人在回路”设计确保了 AI 在没有安全工程师许可的情况下不会在生产系统中失控运行，解决了自主渗透测试工具中一个重大的信任缺口。
Part 02: 渗透测试全程协助
PentesterFlow 的设计目标是协助渗透测试全生命周期：范围界定、侦察、枚举、验证、覆盖率追踪、报告编写和学习。
一段现场演示展示了该工具加载“webvuln” skill（技能），发送 HTTP 请求测试一个订单 API，自动确认一个高风险级 IDOR（不安全的直接对象引用）漏洞，并将带有证据的发现结果直接写入 Markdown 文件。
一个值得注意的特性是 PentesterFlow 的本地持续学习系统。该系统会静默存储用户偏好、成功的工作流、覆盖空白以及从失败假设中吸取的教训，存入项目专属和个人智能文件中，从而改善后续会话的表现，而无需重新训练底层模型。
在将任何内容写入磁盘之前，系统会自动删除敏感信息（secrets）。重复的记忆在到达模型前会去重处理，从而在工具随时间变得更智能的同时保持工作流简洁。
Part 03: 工具集成与应用
PentesterFlow 可从 GitHub 获取，它强制基于权限的工具执行，阻止灾难性的 shell 命令模式，并在压缩和快照过程中删除凭据。不过，它也提供“YOLO 模式”，允许在隔离实验环境中自动批准操作。
该工具通过一个配套桥接工具直接集成 Burp Suite，让测试者将捕获的流量发送到命令行界面，并将确认的发现结果作为 Burp 问题导入，从而在手动和 AI 辅助测试之间实现更流畅的工作流。
安装过程很简单：macOS/Linux 用户通过 shell 脚本，Windows 用户通过 PowerShell 命令，可拉取最新的独立二进制文件并验证其 SHA-256 校验和。
用户可以固定特定版本，选择本地 LLM（如 Ollama 的 qwen2.5-coder 模型），或连接托管服务商（如 Gemini 和 Groq），然后通过简单的 /target 命令设置目标 URL，接着用自然语言指示 Agent（例如“测试 orders API 的越权控制”）。
针对敏感目标工作的分析师应当注意：PentesterFlow 明确仅用于授权安全工作，因为一旦获得批准，它能够执行 shell 命令并发送实时 HTTP 请求。
随着 Agentic AI 工具在攻防安全领域大量涌现，与 PentAGI、PentestGPT 等项目一同出现，PentesterFlow 强调透明、可复现的证据以及分析师批准的操作，这使其成为那些对全自动渗透测试 Agent 持谨慎态度的团队的有力竞争者。
对 AI 赋能渗透测试感兴趣？云栈社区汇聚了众多安全研究人员，欢迎分享你的看法。
参考来源：
PentesterFlow – AI Tool for Penetration Testers and Bug Hunters to Automate Workflows
https://cybersecuritynews.com/pentesterflow/
发表于 5 小时前
|
查看: 3|
回复: 0
