PentAGI : l’IA autonome pour les tests de pénétration

Qu’est-ce que PentAGI ?

PentAGI (Penetration testing Artificial General Intelligence) est une plateforme open source qui exploite des modèles de langage avancés (LLM) pour conduire des tests de pénétration de manière autonome. Concrètement, il s’agit d’un agent IA capable de planifier, exécuter et analyser des audits de sécurité sans intervention humaine permanente — le tout dans des environnements conteneurisés et isolés.

Le projet est disponible sur GitHub : github.com/vxcontrol/pentagi

PentAGI s’adresse aux professionnels de la cybersécurité, aux pentesters et aux équipes red team qui souhaitent automatiser une partie de leur workflow tout en gardant une supervision humaine possible.

Architecture et composants

PentAGI repose sur une architecture en couches bien pensée :

Stack technique principale

  • Frontend : interface web en React / TypeScript
  • Backend : API en Go avec support GraphQL et REST
  • Base de données : PostgreSQL avec l’extension pgvector pour la recherche sémantique
  • File de tâches : système asynchrone pour l’orchestration des agents
  • Couche multi-agents : coordination de plusieurs IA spécialisées

Mémoire et connaissance

  • Mémoire à long terme : stockage vectoriel pour la récupération sémantique
  • Mémoire de travail : contexte des tâches en cours
  • Mémoire épisodique : historique des actions passées et de leurs résultats
  • Graphe de connaissances : base Neo4j via Graphiti pour cartographier les relations entre entités découvertes

Monitoring et observabilité

  • OpenTelemetry pour la collecte de métriques
  • Grafana + VictoriaMetrics pour les tableaux de bord
  • Jaeger pour le tracing distribué
  • Loki pour l’agrégation des logs
  • Langfuse pour analyser les performances des LLM

Outils de sécurité embarqués

Plus de 20 outils professionnels sont disponibles dans des conteneurs isolés : nmap, metasploit, sqlmap, et bien d’autres. L’exécution se fait dans un environnement sandbox, ce qui limite les risques de débordement sur l’infrastructure hôte.

Fonctionnalités clés

Fonctionnement autonome

Les agents déterminent eux-mêmes la séquence d’exécution des tâches. Un mécanisme de supervision optionnel détecte les boucles infinies et les comportements inefficaces, puis propose des alternatives via un agent « Adviser ».

Support étendu des LLM

PentAGI s’intègre avec plus de 10 fournisseurs de modèles :

  • OpenAI (GPT-4.1, GPT-5, o-series)
  • Anthropic Claude (Claude 4.6 avec extended thinking, Claude 4.5)
  • Google Gemini (Gemini 3, 3.1, 2.5 Thinking — contexte jusqu’à 1M tokens)
  • AWS Bedrock (21 modèles disponibles)
  • Ollama (inférence locale)
  • DeepSeek, GLM, Moonshot Kimi, Alibaba Qwen
  • LiteLLM proxy pour les configurations personnalisées

Agents spécialisés

Cinq types d’agents collaborent selon les besoins :

  • Researcher : collecte d’informations
  • Developer : écriture de scripts et d’exploits
  • Executor : exécution des commandes et outils
  • Adviser : guidance stratégique en cas d’échec
  • Searcher : recherche dans les bases de vulnérabilités

Sources de renseignement externes

L’outil peut interroger plusieurs moteurs de recherche et bases de données spécialisées : Tavily, Traversaal, Perplexity, DuckDuckGo, Google, Sploitus (CVE/exploits), et Searxng.

Rapports automatisés

À l’issue d’une mission, PentAGI génère un rapport détaillé des vulnérabilités découvertes, avec les pistes d’exploitation et les recommandations de remédiation.

Configuration requise

  • Docker et Docker Compose installés
  • Minimum 2 vCPU, 4 Go de RAM
  • 20 Go d’espace disque
  • Accès internet pour les API des fournisseurs de LLM (sauf déploiement local avec Ollama)

Installation

Méthode recommandée : installateur interactif

PentAGI propose des installateurs précompilés pour Linux (amd64/arm64), Windows et macOS. L’installateur guide pas à pas :

  1. Vérification des prérequis système
  2. Configuration du fournisseur LLM (clé API)
  3. Configuration des moteurs de recherche
  4. Génération des credentials de sécurité
  5. Déploiement via Docker Compose

Note : L’installateur nécessite l’accès au socket Docker. En production, lancez-le avec sudo ; en développement, ajoutez votre utilisateur au groupe docker.

Installation manuelle

# 1. Récupérer le fichier de configuration exemple
curl -O https://raw.githubusercontent.com/vxcontrol/pentagi/main/.env.example
cp .env.example .env

# 2. Éditer .env et renseigner au minimum un fournisseur LLM
nano .env

# 3. Démarrer les services
docker compose up -d

L’interface web est ensuite accessible sur https://localhost:8443.
Identifiants par défaut : admin@pentagi.com / admin (à changer immédiatement en production !)

Utilisation pas à pas

1. Se connecter à l’interface

Ouvrez votre navigateur sur https://localhost:8443. Vous arrivez sur l’interface React de PentAGI.

2. Créer un flux de travail (flow)

Un flow représente une mission de pentest. Donnez-lui un nom, décrivez l’objectif (ex. : « Analyser les vulnérabilités de l’hôte 192.168.1.10 ») et choisissez le modèle LLM à utiliser.

3. Lancer la mission

PentAGI décompose automatiquement l’objectif en étapes (3 à 7 sous-tâches), puis les délègue aux agents spécialisés. Vous pouvez suivre l’avancement en temps réel dans l’interface.

4. Superviser (optionnel)

Le mode supervision permet de :

  • Approuver ou refuser certaines actions avant exécution
  • Recevoir des alertes si l’agent tourne en rond
  • Consulter les traces dans Grafana/Jaeger

5. Récupérer le rapport

Une fois la mission terminée, le rapport de vulnérabilités est disponible directement dans l’interface, avec les détails techniques et les recommandations.

Accès API

PentAGI expose une API REST et GraphQL avec authentification par token Bearer. Les tokens se créent dans Paramètres → API Tokens avec une durée de validité configurable (de 1 minute à 3 ans).

  • GraphQL Playground : /api/v1/graphql/playground
  • Swagger UI : /api/v1/swagger/index.html
  • Spécification OpenAPI : disponible en JSON et YAML

Déploiement en production

Pour un accès depuis l’extérieur (et non seulement localhost), configurez ces variables d’environnement dans le fichier .env :

PENTAGI_LISTEN_IP=0.0.0.0
PUBLIC_URL=https://votre-domaine.com
CORS_ORIGINS=https://votre-domaine.com

Pour les environnements air-gappés (sans accès internet), il est possible d’utiliser Ollama avec un modèle local comme Qwen. La documentation officielle mentionne une configuration vLLM + Qwen sur 4× RTX 5090 atteignant ~13 000 tokens/s en prompt et ~650 tokens/s en complétion.

Considérations légales et éthiques

PentAGI est un outil puissant réservé aux usages légaux et autorisés : tests sur vos propres infrastructures, missions avec mandat écrit, environnements de lab ou de CTF. Toute utilisation sur des systèmes sans autorisation explicite est illégale et passible de poursuites.

Conclusion

PentAGI représente une avancée significative dans l’automatisation des tests de sécurité. En combinant des agents IA spécialisés, une mémoire persistante et plus de 20 outils de pentest professionnels, il permet d’accélérer considérablement les phases de reconnaissance et d’exploitation lors d’audits autorisés. Sa flexibilité — choix du LLM, déploiement local ou cloud, API ouverte — en fait un outil adapté aussi bien aux pentesters indépendants qu’aux équipes sécurité d’entreprise.

Le code source est disponible sur GitHub sous licence open source.

Laisser un commentaire