Jenga na Endesha Jeshi la Pentesting Linalojitegemea kwa sapper-v2

sapper-v2 ni nini?

sapper-v2 ni mfumo unaojiendesha wenye mawakala wengi, ulioundwa kwa ajili ya majaribio ya kupenya yaliyoidhinishwa. Badala ya kutegemea wakala mmoja anayezidi kuwa changamano, unapanga AI nyingi kuwa jeshi linalogawanya kazi, kuwasiliana kuhusu uvumbuzi, na kuhifadhi maarifa wakati mawakala wanabadilishwa.

Mradi huu ulishinda hatua ya kufuzu mtandaoni ya shindano la tatu la Tencent Cloud Intelligent Attack-Defense Challenge na ukapata Tuzo ya Kwanza katika GeekCon 2026 AI Challenge. Katika tukio la Tencent, ulikamilisha uendeshaji wa saa nane bila uangalizi kwa alama 80.18, na kugundua bendera 85 huku ukitumia takribani tokeni bilioni moja.

Tumia sapper-v2 pekee kwenye mifumo unayomiliki au uliyopewa ruhusa ya wazi kuijaribu. Kagua DISCLAIMER.md kabla ya kusakinisha au kuendesha.

Jinsi mfumo unavyofanya kazi

Mradi huu umejengwa kuzunguka uwezo wa msingi wa aina tatu:

• Kuunda: Mfumo hufungua vipindi vipya vya AI katika tmux, hivyo kuuwezesha kuunda wafanyakazi bingwa kadiri kazi zinavyohitaji.
• Lugha: Mawakala huwasiliana kwa kuingiza ujumbe katika vipindi vya kuingiza vya wenzao.
• Historia: Matokeo huhifadhiwa katika grafu yenye tabaka za ukweli na nia badala ya kuachwa ndani ya muktadha wa wakala mmoja.

Mfumo wa historia una tabaka tatu: kichwa, muhtasari, na hati ya ushahidi. Mawakala wanaweza kusoma kichwa kifupi kwanza, kukagua muhtasari wanapohitaji muktadha zaidi, na kufungua ushahidi kwa uthibitishaji wa kina. Muundo huu hupunguza matumizi ya muktadha na kupunguza madhara yanayosababishwa na ukweli usio sahihi.

Majukumu wakati wa uendeshaji

Wakati wa uendeshaji, sapper-v2 hutenganisha uratibu, utekelezaji, na upatikanaji:

• Kamanda: Husoma ubao, hutathmini shabaha, na kugawa kazi. Hafanyi mashambulizi mwenyewe.
• Majeshi: Hushughulikia mashambulizi magumu na yanaweza kuajiri vikosi vyao.
• Skauti: Hufanya upelelezi mfupi na kusaidia kubaini ikiwa shabaha inahitaji utekelezaji wa kiwango kikubwa au uchunguzi wa kina.
• Askari: Hufanya kazi sambamba kwenye kazi walizopewa.
• Mtoa ishara: Hukusanya na kuwasilisha bendera ambazo hazijaripotiwa kutoka sehemu moja; jukumu hili liliibuka wakati wa uendeshaji badala ya kupangwa mapema kwenye msimbo.
• Watchdog: Hati isiyo na mkakati inayouweka mfumo ukiendelea kwa kuanzisha upya kamanda aliyeanguka kwa --continue, kubadilisha funguo, na kushughulikia hitimisho la uendeshaji.

README inaeleza madirisha matatu yanayoonekana wakati wa uendeshaji: kamanda, jeshi la AI linaloendesha katika vidirisha vya tmux, na watchdog.

Vipengele muhimu

• Mgawanyo wa kazi sambamba: Skauti, askari, majeshi, na kamanda hufanya kazi zenye majukumu tofauti.
• Kumbukumbu endelevu ya shirika: Maarifa hubaki hata wakala mmoja anapobadilishwa.
• Mzunguko wa muktadha: Mawakala ambao miktadha yao imejaa wanaweza kuwaachia warithi masomo yaliyoandikwa.
• Uainishaji wa mifano: Usanidi wa shindano ulitumia GLM-5.3 kwa kamanda na majeshi, na DeepSeek V4.1 Flash kwa skauti na askari.
• Ustahimilivu wa uendeshaji: Watchdog inaweza kuanzisha upya kamanda, kubadilisha funguo, na kudumisha mwendelezo bila kufanya maamuzi ya kimkakati.
• Uhamishaji kati ya mashindano: Kamanda anaweza kutambua familia za changamoto zinazofanana kimuundo na kupitisha mbinu zilizofanikiwa kwa mawakala waliopangiwa upya.
• CLI ya ukweli na nia: Mradi hutoa amri na mwongozo wa kuendesha grafu yake na kuendesha mtiririko wa kazi wa changamoto nyingi.

Sakinisha CLI ya sapper

Kisakinishi cha kuanza haraka huunganisha CLI ya sapper katika eneo lake. Kulingana na README, CLI hutumia maktaba ya kawaida pekee na haina vitegemezi vya ziada.

Kutoka kwenye mzizi wa hazina, endesha:

bash install.sh

README haitaji mahitaji ya ziada ya ndani au hatua maalum za usakinishaji kulingana na jukwaa. Ikiwa amri hiyo haifanyi sapper ipatikane kwenye shell yako, kagua install.sh na uthibitishe kuwa eneo la kiungo chake cha mfano limejumuishwa katika njia yako ya kutekeleza.

Anzisha tathmini iliyoidhinishwa

Unda tathmini mpya kwa sapper setup. Mfano ufuatao umetolewa kwenye mwongozo wa kuanza haraka wa mradi:

sapper setup --goal "assess http://target" --agents

Badilisha http://target pekee na endpoint iliyo ndani ya idhini yako iliyoandikwa. Lengo linapaswa kueleza kwa uwazi wigo ulioidhinishwa ili mawakala wapokee jukumu lisilo na utata.

Chaguo la --agents huanzisha mtiririko wa kazi unaolenga mawakala unaoonyeshwa na mradi. Baada ya usanidi, kagua ubao na mstari wa mbele wa sasa:

sapper status

Mwonekano wa hali ndiyo amri kuu ya kuanza haraka ya kuangalia maendeleo ya kazi. Kamanda hutumia ubao kutathmini shabaha na kugawa wataalamu badala ya kufanya kazi za tathmini moja kwa moja.

Mtiririko mdogo wa CLI

1. Thibitisha idhini: Weka kumbukumbu ya shabaha, muda wa kazi, mbinu zilizoidhinishwa, na masharti ya kusitisha nje ya zana.
2. Sakinisha CLI: Endesha bash install.sh kutoka kwenye hazina iliyoklonwa.
3. Fafanua lengo: Endesha sapper setup --goal "assess http://target" --agents ukitumia shabaha iliyoidhinishwa.
4. Fuatilia ubao: Endesha sapper status ili kukagua ubao na mstari wa mbele.
5. Kagua maarifa yaliyohifadhiwa: Tumia mtiririko wa ukweli na nia ulioandikwa katika SKILL.md unapohitaji uendeshaji wa grafu moja au uchanganuzi wa changamoto nyingi.

Endesha jeshi lote kwa Docker

Hazina hii inajumuisha Dockerfile kwa ajili ya legion kamili inayotegemea commander. Unda image kutoka kwenye mzizi wa hazina:

docker build -f docker/Dockerfile.commander -t sapper:latest .

Kabla ya kuanzisha kontena, sanidi gateways za modeli, pool ya funguo, na vigezo vya mazingira vya bajeti vilivyoelezwa katika docker/ENV.md. Mipangilio hii ni muhimu kwa sababu usanifu hugawa majukumu tofauti kwa viwango tofauti vya modeli na unajumuisha mzunguko wa funguo pamoja na uendeshaji unaozingatia bajeti.

README inaonyesha uanzishaji wa kontena kwa njia ya kimuhtasari:

docker run -d --name sapper ... sapper:latest

Alama ya nukta tatu si hoja halisi iliyo tayari kutumika. Ibadilishe kwa vigezo vya mazingira vinavyohitajika na chaguo nyingine za Docker kutoka kwenye nyaraka za mazingira za hazina. Usibashiri vitambulisho vya uzalishaji au kuweka siri moja kwa moja kwenye historia ya shell wakati kuna njia salama zaidi ya kudhibiti siri.

Elewa mafundisho ya commander

Mafundisho ya uendeshaji ya commander yamehifadhiwa katika docker/commander/SKILL.md. README inaangazia kanuni kadhaa:

• Upangaji wa sambamba unaoanza na yaliyo rahisi: Sambaza kazi ili malengo yanayoweza kutatuliwa kwa urahisi yashughulikiwe kwa wakati mmoja, badala ya kulazimisha legion yote ipitie njia moja ngumu.
• Uokoaji wakati wa kikwazo: Operesheni inapokaribia mwisho, kagua tena malengo yaliyotatuliwa kwa sehemu ambapo ushahidi uliopo unaweza kutoa matokeo kwa haraka.
• Nidhamu ya kukomesha hasara: Epuka kutumia muda au tokeni zisizo na kikomo kwenye kazi isiyoleta maendeleo.
• Utenganishaji wa majukumu: Hifadhi umakini wa commander kwa kusoma ubao, kufanya maamuzi, na kusambaza kazi badala ya utekelezaji wa moja kwa moja.

Kwa mkataba rasmi wa usanifu, soma docker/commander/SPEC.md. Kwa maelezo ya nyuma yanayoeleza jinsi mfumo ulivyofanya kazi wakati wa mashindano, soma BATTLE-REPORT.md.

Vidokezo vya uendeshaji wa hali ya juu

Andika malengo yanayolingana na wigo ulioidhinishwa

Lengo la usanidi huwa dhamira ambayo mawakala hufanyia kazi. Taja kwa usahihi lengo lililoidhinishwa na epuka maneno mapana yanayoweza kutafsiriwa kama ruhusa ya kuchunguza wapangishaji au huduma zisizohusiana. Nyaraka za idhini ya nje ndizo chanzo cha ukweli.

Tumia ushahidi wa matabaka badala ya muhtasari mkubwa kupita kiasi

Weka mambo ya kiwango cha juu kwa ufupi huku ukihifadhi ushahidi wa kina chini yake. Kichwa kinapaswa kuwasilisha kiini, muhtasari ueleze umuhimu, na hati ya ushahidi iunge mkono uthibitishaji. Hii inafuata muundo wa sapper-v2 na huepuka kupakia kila undani tena na tena katika muktadha wa wakala.

Hifadhi mafunzo wakati wa kubadilisha mawakala

Mradi ulipima kujaa kwa muktadha wa askari kuwa takriban tokeni 260,000 wakati wa kampeni yake. Jibu lake lilikuwa kumrejesha mfanyakazi huku akiacha kitabu cha mwongozo kwa mrithi. Unapokagua matokeo ya operesheni, pendelea maelezo ya wazi ya makabidhiano yenye matokeo yaliyothibitishwa, mbinu zilizojaribiwa, maswali ambayo hayajajibiwa, na taratibu zinazoweza kutumiwa tena.

Tenganisha mkakati na upatikanaji

Watchdog hana jukumu la kimkakati kwa makusudi. Weka tabia ya urejeshaji, mzunguko wa funguo, na uanzishaji upya wa michakato tofauti na maamuzi kuhusu malengo na mbinu. Hii hurahisisha kuelewa iwapo hatua ilitokana na commander au na otomatiki ya kudumisha uhai.

Dhibiti gharama za tokeni na modeli

Usanifu wa mashindano wa sapper-v2 uliwapa modeli zenye nguvu zaidi jukumu la kufanya maamuzi ya kiwango cha juu, na modeli nyepesi upelelezi wa kiwango kikubwa na utekelezaji. Ukirudia usanidi ulioandikwa, weka gateways, pool za funguo, na bajeti kupitia mwongozo wa mazingira wa Docker na fuatilia matumizi wakati wote wa uendeshaji ulioidhinishwa.

Kagua ushahidi kabla ya kuamini maarifa yaliyohamishwa

Uhamishaji kati ya changamoto unaweza kuharakisha kazi wakati malengo yana muundo unaofanana, lakini ufanano haupaswi kuchukua nafasi ya uthibitishaji. Tumia grafu ya matabaka kukagua mihtasari na ushahidi unaounga mkono kabla ya kutumia kitabu cha mwongozo kilichorithiwa kwenye changamoto nyingine.

Usalama na matumizi yanayowajibika

sapper-v2 ni zana ya usalama wa kukera na haipaswi kutumiwa kupata ufikiaji bila idhini. README inaonya wazi kwamba AI inaweza kuongeza madhara yanayosababishwa na zana za kukera. Fuata sheria zinazotumika, pata ruhusa ya wazi, punguza wigo wa lengo, weka bajeti na masharti ya kusitisha, na dumisha usimamizi wa binadamu unaofaa kwa mazingira hayo.

Mradi pia unapendekeza utaratibu wa baadaye wa taggant: alama zinazounganishwa na harness ya kukera ambazo zinaweza kuvuja taarifa za utambulisho kwa waathiriwa wakati wa uvamizi haramu na kusaidia kubaini wahusika. README inawasilisha hili kama pendekezo linalohitaji usanifu wa kriptografia na wa jamii, si kama ulinzi uliopo ambao watumiaji wanaweza kuutegemea leo.

Hitimisho

sapper-v2 inaonyesha mbinu ya ushirikiano ya tathmini huru ya usalama: commander hugawa kazi, wataalamu hufanya kazi kwa wakati mmoja, watchdog hudumisha mwendelezo, na grafu ya tabaka ya ukweli huhifadhi maarifa ya shirika. Anza na CLI nyepesi, fuatilia ubao kwa kutumia sapper status, na tumia usanidi wa Docker unapohitaji legion kamili. Daima hakikisha kila uendeshaji uko ndani ya idhini ya wazi na kanusho la mradi.