Open-Kritt оркеструє паралельних AI-агентів для автономного аудиту вразливостей коду
Open-Kritt — це відкрита платформа для локального аудиту безпеки, яка розбиває пошук вразливостей на паралельні задачі для AI-агентів. Вона підтримує моделі Anthropic, OpenAI та DeepSeek, автоматично верифікуючи баги та генеруючи PoC.
Чому це важливо
Ви можете виконувати автоматизований мультимодельний аудит безпеки коду без передачі репозиторіїв стороннім хмарним SaaS-сканерам.
TL;DR
- 01Розбиває аудит кодової бази на сфокусовані підзадачі паралельних агентів для зниження галюцинацій.
- 02Автоматично генерує відтворювані PoC-скрипти та нормалізовані звіти про вразливості.
- 03Потребує запуску в ізольованих віртуальних машинах через права root у контейнерах агентів.
Ключові факти
- Ліцензія
- AGPL-3.0
- Системні вимоги
- Git, Docker з Docker Compose, Node.js 20+
- Підтримувані провайдери
- OpenAI, Anthropic, DeepSeek, OpenRouter, xAI, Codex
- Мережевий порт
- 127.0.0.1:5173 (без автентифікації)
Архітектура декомпонованого сканування
Спроба проаналізувати всю кодову базу одним запитом до LLM перевантажує контекст і генерує хибні звіти. open-kritt розбиває аналіз репозиторію на окремі паралельні задачі. Агенти досліджують локальні або віддалені репозиторії через Codex, Claude Code або Grok Build, після чого результати автоматично дедуплікуються та ранжуються за рівнем критичності.
Модель загроз та ізоляція середовища
Запуск агентів для пошуку вразливостей вимагає жорсткої пісочниці:
- Виконання під Root: Агенти запускаються з правами
rootв одноразових контейнерах Docker, маючи прямий доступ до інтернету та запису файлів для компіляції тестових збірок і PoC. - Відсутність автентифікації: Веб-інтерфейс слухає
127.0.0.1:5173без вбудованого захисту доступу. Сервіс призначений для локального використання і не повинен відкриватися назовні без проксі. - Підключення моделей: Підтримується робота з власними API-ключами для Anthropic, OpenAI, DeepSeek, OpenRouter та xAI або прямий вхід через Codex.
Автономний CLI та експорт звітів
Результати сканування упаковуються в ZIP-архіви разом із нормалізованими звітами та кодом PoC. Для термінальних середовищ утиліта ./kritt-headless виводить статус виконання етапів сканування безпосередньо в консоль.
Спробуй за 2 хвилини
git clone https://github.com/Kritt-ai/open-kritt
cd open-kritt
./kritt setup
./kritt startbash
✓ Коли використовувати
- Аудит закритих корпоративних репозиторіїв, які заборонено завантажувати в публічні хмари.
- Автоматизована генерація та верифікація PoC для складних проектів силами паралельних AI-агентів.
✕ Коли НЕ варто
- Аудит стороннього коду безпосередньо на робочому комп'ютері без віртуальної машини.
- Розгортання у відкритому інтернеті без захищеного реверс-проксі з автентифікацією.
Що зробити сьогодні
- Розгорніть ізольовану віртуальну машину перед запуском аудиту сторонніх репозиторіїв.
- Виконайте `./kritt setup` для налаштування API-ключів Anthropic, OpenAI або DeepSeek.