six2dez/burp-ai-agent

Эта страница переведена автоматически. Технические детали смотрите в оригинале. Открыть оригинал

1,6 тыс. stars 230 forks Качество 77 Тренд 39MIT

Расширение Burp Suite, которое добавляет встроенные инструменты MCP, анализ с помощью искусственного интеллекта, контроль конфиденциальности, пассивное и активное сканирование и многое другое

Обзор

Это расширение публикуется как (ранее Burp AI Agent). Оно было переименовано для соответствия требованиям PortSwigger к именованию BApp Store и чтобы избежать путаницы с встроенным провайдером Burp Suite. Репозиторий GitHub (github.com/six2dez/burp-ai-agent), сайт документации (burp-ai-agent.six2dez.com) и каталог конфигурации (~/.burp-ai-agent/) сохраняют идентификатор burp-ai-agent для обеспечения непрерывности. Custom AI Agent — это расширение для Burp Suite, интегрирующее ИИ в ваш рабочий процесс безопасности. Используйте локальные модели или облачных провайдеров, подключайте внешние AI-агенты через MCP и позволяйте пассивным/активным сканерам находить уязвимости, пока вы сосредоточьтесь на ручном тестировании. - (CAP-01) — прямой API Anthropic Messages через HTTP-транспорт Burp; весь трафик отображается в истории прокси. - (SEC-01) — все хранящиеся ключи и токены API шифруются с помощью ключа для каждой установки с использованием javax.crypto; в настройках нет открытого текста.

Обзор (машинный перевод)

Мост между Burp Suite и современным ИИ.

Примечание по названию: Это расширение опубликовано как Custom AI Agent (ранее Burp AI Agent). Оно было переименовано для соответствия требованиям PortSwigger к именованию BApp Store и чтобы избежать путаницы с встроенным провайдером Burp AI в Burp Suite. Репозиторий GitHub (github.com/six2dez/burp-ai-agent), сайт документации (burp-ai-agent.six2dez.com) и каталог конфигурации (~/.burp-ai-agent/) сохраняют идентификатор burp-ai-agent для обеспечения непрерывности.

Custom AI Agent — это расширение для Burp Suite, интегрирующее ИИ в ваш рабочий процесс безопасности. Используйте локальные модели или облачных провайдеров, подключайте внешние AI-агенты через MCP и позволяйте пассивным/активным сканерам находить уязвимости, пока вы сосредоточьтесь на ручном тестировании.

[! ВАЖНО] Если у вас 1.0.0 или раньше, прочитайте рекомендации по безопасности и обновитесь до последней версии — 1.1.0. Файлы аудита, написанные при входе в Audit, могут содержать токен MCP и полные подсказки, а также клик правой кнопкой мыши контекст «отправить в ИИ» может обойти режим конфиденциальности; оба уведомления указывают, какие учетные данные нужно изменить. Ни один из них не выдавал идентификаторов CVE или GHSA.

Что нового в v1.

Эта страница переведена автоматически. Технические детали смотрите в оригинале.

README

Показан фрагмент оригинального README. Открыть оригинал.

Custom AI Agent

The bridge between Burp Suite and modern AI.

A note on the name: This extension is published as Custom AI Agent (formerly Burp AI Agent). It was renamed to comply with PortSwigger’s BApp Store naming requirements and to avoid confusion with Burp Suite’s built-in Burp AI provider. The GitHub repository (github.com/six2dez/burp-ai-agent), the documentation site (burp-ai-agent.six2dez.com), and the configuration directory (~/.burp-ai-agent/) keep the burp-ai-agent identifier for continuity.

Custom AI Agent is an extension for Burp Suite that integrates AI into your security workflow. Use local models or cloud providers, connect external AI agents via MCP, and let passive/active scanners find vulnerabilities while you focus on manual testing.

[!IMPORTANT] If you are running 1.0.0 or earlier, read the security advisories and upgrade to the latest release, 1.1.0. Audit files written with Audit logging on may hold the MCP token and full prompts, and right-click “send to AI” context could bypass the privacy mode; both advisories say which credentials to rotate. No CVE or GHSA identifier has been issued for any of them.

What’s new in v1.1.0

Two builds from one repository, built for the BApp Store resubmission. Full detail in CHANGELOG.md.

Two builds. The BApp Store build (./gradlew bappJar) has the 8 extension-native MCP tools, Burp AI and the six HTTP backends. The GitHub full build (./gradlew fullJar) has all 59 MCP tools, the five CLI backends, the external MCP client and the opt-in auto-queue. Both are on Releases, each with a .sha256. Load only one at a time; Which Build? compares them.
The BApp Store build’s AI gate. The BApp Store build runs on Burp Community and Burp Professional; it sends AI requests only while Burp’s “Use AI” setting is enabled for the extension, and with it off it loads and refuses every AI request.
Passive scans send nothing to the target. Passive findings the AI Active Scanner can test are listed as suggested targets in its queue dialog, in both builds, and you queue them by hand: nothing is sent to a target before you confirm.
Clean unload. Unloading leaves no thread, timer or MCP listener of the extension running and starts no new request to an AI provider.
Issue details are HTML-encoded. Payloads, values taken from the target and AI text show as literal text in Burp’s issue view and reports.
The AI scanners start OFF at every load, in both builds; switching one on lasts until Burp unloads the extension.

What’s new in v1.0.1

Открыть полный README на GitHub

Установка

npx -y supergateway --sse http://127.0.0.1:9876/sse

Новичок в MCP? Начните с руководства на mcpskill.org →

Конфигурация

{
  "mcpServers": {
    "burp-ai-agent": {
      "command": "npx",
      "args": [
        "-y",
        "supergateway",
        "--sse",
        "http://127.0.0.1:9876/sse"
      ]
    }
  }
}