Nightcrawler kjører pentest-agenten på en mobil uten nettforbindelse

En OnePlus 8 med Kali NetHunter legges igjen på nettverket, og operatøren går. Det er premisset i Nightcrawler, et prosjekt fra garagehq som ble lagt ut på Hacker News 3. august. Repoet har ligget offentlig siden 29. april og har 295 stjerner. Agenten kartlegger verter, prober tjenester, tester kjente sårbarheter og skriver en ferdig rapport på egen hånd.

Modellen som bestemmer neste trekk er LFM2.5-1.2B-Instruct-Heretic, kvantisert til Q8_0 og kjørt via OpenCL på telefonens Adreno 650. Utvikleren måler 115 tokens i sekundet på prompt og 13 på generering. Android struper GPU-en med faktor seks når telefonen går på batteri, så prosjektet inkluderer en governor-daemon som tvinger maks ytelse og auto-struper under 15 prosent batteri.

Det mest overførbare for andre som bygger agenter er laget mellom modellen og verktøyene. Hver kommando går gjennom en scope-proxy som validerer mot en konfigurert liste over autoriserte nett før den når MCP-serveren som faktisk kjører nmap eller smbclient. Modellen kan foreslå hva som helst, men proxyen avgjør om det utføres. Det mønsteret gjelder enhver agent med skalltilgang, ikke bare denne.

Prosjektet oppgir 27 ferdige angrepskjeder og en CVE-database på 24 956 oppføringer for versjonsmatching. Repoet har ingen lisensfil, som i praksis betyr at all bruk krever avtale med utvikleren. WPA2-knekking mot trådløse nett er en valgfri modus, og hele verktøyet forutsetter skriftlig avtale om testomfang med den som eier nettverket.

Hva bør du gjøre?

1. Les scope_proxy.py hvis du bygger agenter med skalltilgang. Valideringen ligger utenfor modellen, ikke i prompten.
2. Start med NC_DRY_RUN=1, som kjører agent-løkken mot en mock-server uten å sende ekte kommandoer.
3. Avklar testomfang og rules of engagement skriftlig før verktøyet peker mot et nettverk du ikke eier selv.