3.2k星Python渗透智能体运行时：PentestAgent源码级拆解（THP3+MCP）

赤霄攻防实验室
赤霄攻防实验室

赤霄攻防实验室

2026年10月18日 09:42
河北

去阅读

▲ 封面｜武器库评测（制图：赤霄攻防实验室）

TL;DR

是什么：PentestAgent——跑在 Python 运行时上的黑盒渗透测试 AI 智能体，3.2k 星、MIT 开源、Trendshift 榜单项目

能干嘛：THP3 攻击手册 playbook 驱动侦察/Web/内网三阶段，浏览器与终端工具链执行，MCP 生态接入

怎么管住：workspace 隔离 + Kali Docker 容器执行 + token 追踪硬顶

看点：本号源码级拆解其状态机与工具注册体系——它是「从提示词集合走向完整运行时」的第三代样本

▲ 工具档案卡（制图：赤霄攻防实验室）

它是什么：把渗透测试做成可编排的运行时

PentestAgent 是 GH05TCREW 团队开源的黑盒渗透测试 AI 智能体框架：Python 3.10+ 运行时、LiteLLM 多模型接入（OpenAI/Anthropic 及任意兼容厂商）、MCP 协议兼容、Playwright 浏览器工具链，还提供基于 Kali 的 Docker 容器执行环境。3.2k 星、Trendshift 榜单项目、MIT 协议，10 月 12 日刚推过新代码——活跃度和工程质量都在线。

与提示词集合类的「AI 渗透工具」不同，PentestAgent 的核心是一个真正的智能体运行时：工具调用有统一的数据结构（调用与结果分离、并发上限、令牌追踪），任务状态有独立的状态机管理，执行环境有工作区隔离——这些东西在 README 里只是一行「agent framework」，拆开源码才能看到分量。

▲ 仓库主页（来源：GitHub）

Playbook：把攻击手册写进代码

最有意思的设计是 playbook 体系：项目内置了对应 The Hacker's Playbook v3 三阶段的剧本——侦察（thp3\_recon）、Web 深测（thp3\_web）、内网横向（thp3\_network），每个剧本是一套预定义的测试流程，agent 按剧本推进并在关键节点 StructuredSubmit 结构化提交结论。对防守方来说，这也是一份「攻击者视角的测试清单」——照着剧本补覆盖即可。

工具侧同样成体系：浏览器（Playwright）、终端执行、网络搜索、笔记记录各司其职，MCP 协议让外部工具可以即插即用。执行产生的发现统一归档，最终报告从这里生成。

▲ 工作流：THP3 playbook 驱动的测试循环（制图：赤霄攻防实验室）

▲ 工作流：THP3 playbook 驱动的测试循环（制图：赤霄攻防实验室）

源码观感：工程细节见真章

本号完成了源码级与文档级评测（未执行真实渗透任务——需要授权目标与 LLM API 配额），几个值得点名的工程细节：其一，工具调用最多并发 4 路、单 agent 上限 128 个工具，配额控制写进了常量；其二，workspace 管理器带校验逻辑，防止会话串数据；其三，token 追踪器独立成模块——AI 渗透工具的成本透明是刚需；其四，TUI 界面 + Web 报告双通道输出。

局限同样要说明：v0.2.0 还在快速演进期，文档以英文为主；真实测试效果取决于所用模型的工具编排能力；执行类工具的权限边界需要使用者自行把控——官方明确要求仅在授权环境使用。

防御视角：AI 渗透工具也是检测坐标

1. 攻击面画像变了

这类工具把侦察、扫描、利用的门槛拉到「会写配置」的水平——企业防御的假设需要更新：攻击者可能是批量、并发、多目标作业的 agent，而不是单点人工。流量特征上，自动化工具的请求节奏与人工有可区分的模式。

2. 供应链与凭据治理

AI 渗透工具需要模型 API key——攻击者的成本结构变了，但也意味着凭据泄露、滥用追踪有了新的治理对象。企业下发 AI 工具使用规范时，应把「红队工具的密钥管理」写进条款。

参考来源

1. 仓库：https://github.com/GH05TCREW/pentestagent（MIT）
2. 架构文档：仓库内 CLAUDE.md / mcp\_examples / docs
3. The Hacker's Playbook v3：项目内置 thp3 系列 playbook

免责声明：本文仅用于安全研究与防御交流；相关工具请在授权范围内使用。