PentAGI: команда ИИ-пентестеров, которую вы запускаете сами

Факты проверены 14 октября 2026

PentAGI это самохостируемая система, где ИИ-агенты планируют и проводят тесты на проникновение стандартными инструментами в Docker. Один опубликованный прогон на намеренно уязвимом приложении стоил $1,39. Файлы проекта показывают настройки, которые надо менять до развёртывания. Я прочитал код и документацию на коммите 843dfeb и ничего не запускал. Репозиторий

Что проект говорит о себе

README описывает PentAGI как открытую самохостируемую мультиагентную систему для автономного тестирования на проникновение. Вы описываете цель и задачу простым языком. Специализированные агенты планируют работу, запускают более 20 инструментов, среди них nmap, Metasploit и sqlmap, в Docker-песочнице, сохраняют найденное и пишут отчёт. В стеке указаны бэкенд на Go с REST и GraphQL, фронтенд на React и TypeScript и PostgreSQL с pgvector для памяти. Файл LICENSE это лицензия MIT.

Публичный прогон, который все цитируют

Паола Гарсия Карденас опубликовала рассказ от первого лица, 12 апреля 2026 года, о прогоне против OWASP Juice Shop, приложения, созданного уязвимым. Она сообщает: около 38 минут работы, 15 задач и $1,39 расходов на API OpenAI. Агенты выдали 11 находок и curl-запросы с доказательством для трёх главных неаутентифицированных: отражённый XSS, раскрытие файла резервной копии и ошибка настройки CORS. В итоговый отчёт вошли оценки CVSS. Это рассказ одного автора о лёгкой цели, и я его не воспроизводил.

Что менять по умолчанию до развёртывания

В docker-compose.yml сервис PentAGI монтирует сокет Docker хоста и работает от root, и комментарий об этом есть. В .env.example примечание по безопасности говорит, что доступ контейнеров песочницы к сокету Docker позволяет агенту с внедрённым промптом добраться до хоста. DOCKER_INSIDE там по умолчанию false, а примечание советует прокси сокета с минимальными правами, если доступ нужен. В том же файле лежат примерные пароли вроде postgres и devpassword, каждый с пометкой «change this to improve security». Быстрый старт стоит считать конфигурацией для разработки.

Локальным моделям нужно настоящее железо

Для бесплатных локальных моделей нужно больше, чем минимум из README: 2 vCPU, 4 ГБ ОЗУ и 20 ГБ диска, которого хватает на само приложение. Для Ollama README просит контекстное окно 110K и указывает, что num_ctx задаётся только при создании модели, через Modelfile. Производственный пример использует Qwen3.5-27B-FP8 на четырёх GPU RTX 5090. Для моделей меньше 32B параметров README называет мониторинг выполнения и планирование задач обязательными. По умолчанию они выключены (EXECUTION_MONITOR_ENABLED=false), стоят в 2-3 раза больше времени и токенов и дают примерно вдвое лучшее качество, по замерам проекта на Qwen3.5-27B-FP8.

Что сказали внутренняя команда безопасности и мейнтейнеры

В обсуждении GitHub №217 (19 марта 2026) внутренняя команда безопасности сообщила о 10-30% ложных срабатываний, находках, требующих ручной проверки, и слабом охвате бизнес-логики. Она назвала PentAGI быстрым инструментом первого прохода. Мейнтейнеры ответили, что оценка в целом справедлива для публичной версии при минимальном начальном промпте. Они добавили, что задача, ограниченная одной категорией, например SQL-инъекциями, даёт лучший результат, чем широкая. Эти 10-30% это наблюдение одной команды, а не измеренная доля для инструмента.

Картина расходов

Программа распространяется под MIT. Запуск имеет три возможные статьи расходов: траты на API при долгих автономных прогонах, GPU для локального пути и ваше время. RedSecLabs говорит о последнем прямо: вы по-прежнему задаёте цель, одобряете действия, интерпретируете результаты и несёте юридическую и профессиональную ответственность.

Анализ: мой вывод

Прогон за $1,39 показывает, на что инструмент способен на заведомо уязвимой цели с платной моделью. О запутанной боевой системе он говорит мало. Задокументированное монтирование сокета делает саму песочницу частью вашей модели угроз, поэтому запускайте её на изолированном хосте. Используйте инструмент для зацепок первого прохода на системах, которыми вы владеете или на тестирование которых есть письменное разрешение, с узкой задачей, и проверяйте каждую находку, прежде чем кто-то на неё отреагирует.

Что я не смог подтвердить

Я не запускал PentAGI и не воспроизводил результаты. Публичного бенчмарка, сравнивающего размеры локальных моделей на одинаковых целях, я не нашёл [unverified]. Сторонние обзоры, которые я читал, вторичны, и я ссылаюсь на них только в части их собственного опыта.

Метод

Код и документация прочитаны напрямую на коммите 843dfeb (9 октября 2026). Ничего не устанавливалось и не запускалось. Результаты практических тестов приписаны их авторам.

Иллюстративный список перед развёртыванием, не выполнялся

[ ] run on an isolated host you own, not a shared workstation
[ ] change every sample password in .env (postgres, devpassword, ...)
[ ] review the Docker socket mount; keep DOCKER_INSIDE=false unless needed
[ ] written permission for every target, scope stated in the task
[ ] one narrow task per run (one vulnerability class)
[ ] local model: Modelfile with num_ctx 110000; enable monitoring + planning if < 32B
[ ] a human checks every finding before anyone acts on it

Источники и актуальность

• README PentAGI
• docker-compose.yml
• env.example
• LICENSE
• Обсуждение №217 (оценка пользователя и ответ мейнтейнеров)
• Паола Гарсия Карденас: Autonomous Pen Testing with PentAGI
• RedSecLabs: PentAGI, мой взгляд