PentAGI : une équipe de pentest IA que vous hébergez vous-même

Faits vérifiés le 14 octobre 2026

PentAGI est un système auto-hébergé où des agents IA planifient et mènent des tests d'intrusion avec des outils standard dans Docker. Un essai publié sur une application volontairement vulnérable a coûté 1,39 $. Les fichiers du projet montrent des réglages à changer avant le déploiement. J'ai lu le code et la documentation au commit 843dfeb et n'ai rien exécuté. Dépôt

Ce que le projet dit de lui-même

Le README décrit PentAGI comme un système multi-agents open source et auto-hébergé pour les tests d'intrusion autonomes. Vous décrivez une cible et un objectif en langage courant. Des agents spécialisés planifient le travail, lancent plus de 20 outils comme nmap, Metasploit et sqlmap dans un bac à sable Docker, mémorisent leurs découvertes et rédigent un rapport. La pile annonce un backend Go avec API REST et GraphQL, une interface React et TypeScript, et PostgreSQL avec pgvector pour la mémoire. Le fichier LICENSE est la licence MIT.

L'essai public que tout le monde cite

Paola Garcia Cardenas a publié le 12 avril 2026 un récit à la première personne d'un essai contre OWASP Juice Shop, une application conçue pour être vulnérable. Elle indique environ 38 minutes d'exécution, 15 tâches et 1,39 $ de coût d'API OpenAI. Les agents ont produit 11 constats et des requêtes curl de preuve pour les trois principaux sans authentification : un XSS réfléchi, une divulgation de fichier de sauvegarde et une mauvaise configuration CORS. Le rapport final contenait des scores CVSS. C'est le récit d'un seul auteur sur une cible facile, et je ne l'ai pas reproduit.

Réglages par défaut à changer avant le déploiement

Dans docker-compose.yml, le service PentAGI monte le socket Docker de l'hôte et tourne en root, avec un commentaire qui le dit. Dans .env.example, une note de sécurité indique que donner le socket Docker aux conteneurs du bac à sable peut permettre à un agent victime d'injection de prompt d'atteindre l'hôte. DOCKER_INSIDE y vaut false par défaut, et la note suggère un proxy de socket à privilèges minimaux si besoin. Le même fichier fournit des mots de passe d'exemple comme postgres et devpassword, chacun marqué « change this to improve security ». Considérez le démarrage rapide comme une configuration de développement.

Les modèles locaux demandent du vrai matériel

Faire tourner des modèles locaux gratuits demande plus que le minimum du README, 2 vCPU, 4 Go de RAM et 20 Go de disque, qui suffit à l'application. Pour Ollama, le README demande une fenêtre de contexte de 110K et précise que num_ctx ne se règle qu'à la création du modèle, via un Modelfile. Son exemple de production utilise Qwen3.5-27B-FP8 sur quatre GPU RTX 5090. Pour les modèles de moins de 32B paramètres, le README juge la supervision de l'exécution et la planification des tâches essentielles. Elles sont désactivées par défaut (EXECUTION_MONITOR_ENABLED=false), coûtent 2 à 3 fois plus de temps et de jetons pour environ deux fois la qualité, mesurée par le projet sur Qwen3.5-27B-FP8.

Ce qu'une équipe de sécurité interne et les mainteneurs ont dit

Dans la discussion GitHub n° 217 (19 mars 2026), une équipe de sécurité interne a rapporté 10 à 30 % de faux positifs, des constats à trier à la main et une couverture faible de la logique métier. Elle a qualifié PentAGI d'outil rapide de premier passage. Les mainteneurs ont répondu que l'évaluation est globalement juste pour la version publique avec une consigne initiale minimale. Ils ont ajouté qu'une tâche limitée à une catégorie, comme l'injection SQL, donne de meilleurs résultats qu'une tâche large. Ces 10 à 30 % sont l'observation d'une équipe, pas un taux mesuré de l'outil.

Le tableau des coûts

Le logiciel est sous licence MIT. L'utiliser a trois coûts possibles : les appels d'API pour les longues exécutions autonomes, les GPU pour la voie locale, et votre temps. RedSecLabs le dit clairement pour le dernier : vous définissez toujours la cible, validez les actions, interprétez les résultats et portez la responsabilité juridique et professionnelle.

Analyse : mon inférence

L'essai à 1,39 $ montre ce que l'outil sait faire sur une cible connue pour être vulnérable avec un modèle payant. Il dit peu de chose d'un système de production désordonné. Le montage du socket, documenté, fait du bac à sable lui-même une partie de votre modèle de menaces : exécutez-le sur un hôte isolé. Utilisez-le pour obtenir des pistes de premier passage sur des systèmes que vous possédez ou que vous avez l'autorisation écrite de tester, avec une tâche étroite, et vérifiez chaque constat avant que quiconque agisse.

Ce que je n'ai pas pu confirmer

Je n'ai pas exécuté PentAGI ni reproduit de résultat. Je n'ai trouvé aucun benchmark public comparant des tailles de modèles locaux sur des cibles identiques [unverified]. Les avis tiers que j'ai lus sont secondaires et je ne les cite que pour ce qu'ils disent de leur propre expérience.

Méthode

Code et documentation lus directement au commit 843dfeb (9 octobre 2026). Rien n'a été installé ni exécuté. Les résultats pratiques sont attribués à leurs auteurs.

Liste de contrôle illustrative avant déploiement, non exécutée

[ ] run on an isolated host you own, not a shared workstation
[ ] change every sample password in .env (postgres, devpassword, ...)
[ ] review the Docker socket mount; keep DOCKER_INSIDE=false unless needed
[ ] written permission for every target, scope stated in the task
[ ] one narrow task per run (one vulnerability class)
[ ] local model: Modelfile with num_ctx 110000; enable monitoring + planning if < 32B
[ ] a human checks every finding before anyone acts on it

Sources et fraîcheur

• README de PentAGI
• docker-compose.yml
• env.example
• LICENSE
• Discussion n° 217 (évaluation d'un utilisateur et réponse des mainteneurs)
• Paola Garcia Cardenas : Autonomous Pen Testing with PentAGI
• RedSecLabs : PentAGI, mon avis