PentAGI: команда ШІ-пентестерів, яку ви запускаєте самі

Факти перевірено 14 жовтня 2026

PentAGI це самохостована система, де ШІ-агенти планують і проводять тести на проникнення стандартними інструментами в Docker. Один опублікований прогін на навмисно вразливому застосунку коштував $1,39. Файли проєкту показують налаштування, які треба змінити до розгортання. Я прочитав код і документацію на коміті 843dfeb і нічого не запускав. Репозиторій

Що проєкт каже про себе

README описує PentAGI як відкриту самохостовану мультиагентну систему для автономного тестування на проникнення. Ви описуєте ціль і завдання простою мовою. Спеціалізовані агенти планують роботу, запускають понад 20 інструментів, серед них nmap, Metasploit і sqlmap, у Docker-пісочниці, зберігають знайдене й пишуть звіт. У стеку вказано бекенд на Go з REST і GraphQL, фронтенд на React і TypeScript та PostgreSQL з pgvector для пам'яті. Файл LICENSE це ліцензія MIT.

Публічний прогін, який усі цитують

Паола Гарсія Карденас опублікувала розповідь від першої особи, 12 квітня 2026 року, про прогін проти OWASP Juice Shop, застосунку, створеного вразливим. Вона повідомляє: близько 38 хвилин роботи, 15 завдань і $1,39 витрат на API OpenAI. Агенти видали 11 знахідок і curl-запити з доказом для трьох головних неавтентифікованих: відбитий XSS, розкриття файлу резервної копії та помилка налаштування CORS. У підсумковий звіт увійшли оцінки CVSS. Це розповідь одного автора про легку ціль, і я її не відтворював.

Що змінити за замовчуванням до розгортання

У docker-compose.yml сервіс PentAGI монтує сокет Docker хоста й працює від root, і коментар про це є. У .env.example примітка з безпеки каже, що доступ контейнерів пісочниці до сокета Docker дає змогу агенту із впровадженим промптом дістатися хоста. DOCKER_INSIDE там типово false, а примітка радить проксі сокета з мінімальними правами, якщо доступ потрібен. У тому самому файлі лежать зразкові паролі на кшталт postgres і devpassword, кожен із позначкою «change this to improve security». Швидкий старт варто вважати конфігурацією для розробки.

Локальним моделям потрібне справжнє залізо

Для безкоштовних локальних моделей потрібно більше, ніж мінімум із README: 2 vCPU, 4 ГБ ОЗП і 20 ГБ диска, якого вистачає на сам застосунок. Для Ollama README просить контекстне вікно 110K і вказує, що num_ctx задається лише під час створення моделі, через Modelfile. Виробничий приклад використовує Qwen3.5-27B-FP8 на чотирьох GPU RTX 5090. Для моделей менших за 32B параметрів README називає моніторинг виконання та планування завдань обов'язковими. Типово вони вимкнені (EXECUTION_MONITOR_ENABLED=false), коштують у 2-3 рази більше часу й токенів і дають приблизно вдвічі кращу якість, за вимірами проєкту на Qwen3.5-27B-FP8.

Що сказали внутрішня команда безпеки та мейнтейнери

В обговоренні GitHub №217 (19 березня 2026) внутрішня команда безпеки повідомила про 10-30% хибних спрацювань, знахідки, що потребують ручної перевірки, і слабке покриття бізнес-логіки. Вона назвала PentAGI швидким інструментом першого проходу. Мейнтейнери відповіли, що оцінка загалом справедлива для публічної версії за мінімального початкового промпта. Вони додали, що завдання, обмежене однією категорією, наприклад SQL-ін'єкціями, дає кращий результат, ніж широке. Ці 10-30% це спостереження однієї команди, а не виміряна частка для інструмента.

Картина витрат

Програма поширюється під MIT. Запуск має три можливі статті витрат: витрати на API при довгих автономних прогонах, GPU для локального шляху та ваш час. RedSecLabs говорить про останнє прямо: ви досі задаєте ціль, схвалюєте дії, інтерпретуєте результати та несете юридичну й професійну відповідальність.

Аналіз: мій висновок

Прогін за $1,39 показує, на що інструмент здатний на свідомо вразливій цілі з платною моделлю. Про заплутану бойову систему він каже мало. Задокументоване монтування сокета робить саму пісочницю частиною вашої моделі загроз, тому запускайте її на ізольованому хості. Використовуйте інструмент для зачіпок першого проходу на системах, якими ви володієте або на тестування яких є письмовий дозвіл, із вузьким завданням, і перевіряйте кожну знахідку, перш ніж хтось на неї зреагує.

Що я не зміг підтвердити

Я не запускав PentAGI і не відтворював результати. Публічного бенчмарка, що порівнює розміри локальних моделей на однакових цілях, я не знайшов [unverified]. Сторонні огляди, які я читав, вторинні, і я посилаюся на них лише в частині їхнього власного досвіду.

Метод

Код і документацію прочитано безпосередньо на коміті 843dfeb (9 жовтня 2026). Нічого не встановлювалося й не запускалося. Результати практичних тестів приписано їхнім авторам.

Ілюстративний список перед розгортанням, не виконувався

[ ] run on an isolated host you own, not a shared workstation
[ ] change every sample password in .env (postgres, devpassword, ...)
[ ] review the Docker socket mount; keep DOCKER_INSIDE=false unless needed
[ ] written permission for every target, scope stated in the task
[ ] one narrow task per run (one vulnerability class)
[ ] local model: Modelfile with num_ctx 110000; enable monitoring + planning if < 32B
[ ] a human checks every finding before anyone acts on it

Джерела та актуальність

• README PentAGI
• docker-compose.yml
• env.example
• LICENSE
• Обговорення №217 (оцінка користувача та відповідь мейнтейнерів)
• Паола Гарсія Карденас: Autonomous Pen Testing with PentAGI
• RedSecLabs: PentAGI, мій погляд