AI にペネトレーションテスト（侵入テスト）を任せる AIペネトレーションテストOSS が増えています。GitHub のスターは上位3本がいずれも3万を超えています（2026-11-09）。ただ、同じ「AI ペンテスト」でも、AI が提案して人が実行するもの、AI が自分でツールを実行するもの、手元の AI に道具だけ持たせるものと、中身はかなり違います。
GITHUB STARS主なAIペンテストOSSの★（2026-11-09）
上位3本は3万超。CAI は8月にアーカイブ
30秒でわかる（2026-11-09）
- ・4つの型：対話で支える型／自律で回す型／ソースを読んでから攻める型／道具をつなぐ型（MCP）
- ・見るべき違い：誰がコマンドを打つかと、権限と隔離の既定。自律型の多くは制限の弱い権限が既定
- ・状態の変化：CAI は 2026-08-28 にアーカイブ（読み取り専用）。Decepticon はリポジトリの持ち主が変わった
- ・どれを使っても：書面の許可、対象の範囲、隔離、LLM に渡すデータ、記録の5つを先に決める
まずやること（導入を検討する人向け）
- 目的を1行で書く：「自社の Web アプリを、リリース前に検証環境で」のように、対象と環境を先に決める。
- 型を選ぶ：下の比較表で、人が実行する型か、AI が実行する型かを決める。
- 5つを決めてから動かす：書面の許可・範囲・隔離・送るデータ・記録。決まらないうちは動かさない。
ソフトウェアの依存全体を守る考え方は サプライチェーン攻撃とは｜手口・防御ツール比較・npm 12の新機構まで実践解説 を参照してください。
AIペネトレーションテストOSSの4つの型
FOUR TYPESAIペンテストOSSの4つの型
違いは誰がコマンドを打つかと何を見るか
-
A
対話で支える型
LLM が次の一手を提案し、人が実行する。PentestGPT の legacy（論文の流れ）
-
B
自律で回す型（外から）
エージェントがツールを実行して進める。PentAGI・Strix・PentestGPT agent・Decepticon
-
C
ソースを読んでから攻める型
コードから攻撃経路を計画し、再現できたものだけ報告。Shannon（white-box）
-
D
道具をつなぐ型（MCP）
手元の AI に nmap などを使わせる MCP サーバ。HexStrike AI。判断は接続した AI 次第
型によって、事故が起きたときに何が起きるかが変わります。対話で支える型は、最後に人がコマンドを打つので、範囲外への操作は人の目で止められます。自律で回す型は、AI が組み立てたコマンドがそのまま実行されるので、範囲と隔離を道具の外側で固める必要があります。道具をつなぐ型（MCP）は、判断するのは接続した Claude などの AI で、MCP サーバ自体は実行の窓口です。窓口に誰が届くかが、そのまま攻撃面になります。
AIペネトレーションテストOSS 主要7本の比較
★の多い順に、ライセンス・型・注意点を並べます。数字は 2026-11-09 に各リポジトリで確認しました。
| OSS | ★ | ライセンス | 型 | 注意点（当サイトの確認） |
|---|---|---|---|---|
| Strix | 7.45万 | Apache-2.0 | 自律（PoC で裏取り） | 再現できたものだけ報告する設計 |
| Shannon | 5.15万 | AGPL-3.0 | ソースを読む white-box | 依存の脆弱性や設定不備は対象外と明言 |
| PentAGI | 3.37万 | MIT | 自律（自己ホスト） | 設定例のままだと本体がホストの Docker を握る |
| PentestGPT | 1.63万 | MIT | 対話型と自律型の2本立て | 自律型は全ツール・制限なしの権限が既定 |
| HexStrike AI | 1.34万 | MIT | MCP サーバ | 実行の窓口を誰に開くかが要点 |
| CAI | 0.99万 | MIT | 自律フレームワーク | 2026-08-28 にアーカイブ。今後の修正は無い |
| Decepticon | 0.66万 | Apache-2.0 | 自律（レッドチーム） | リポジトリは BitterSecurity に移った（未検証の点が多い） |
ここに挙げなかったものでは、ipa-lab の hackingBuddyGPT（★1.3k・MIT。「50行以内で倫理的ハッカーが LLM を使う」ことを掲げる研究用の実装）、berylliumsec の Nebula（★1.1k・BSD-2-Clause）があります。Cyber-AutoAgent（★551）は 2025-11-29 にアーカイブされています。
各 OSS の中身は個別の記事で確かめました。自己ホストの画面で13の役割のエージェントを回す PentAGIとは｜自律型AIペンテストOSSの仕組みと、既定設定で気をつける4点、論文の対話型と Claude Code・Codex を動かす自律型が同居する PentestGPTとは｜論文の対話型とClaude Codeを動かす自律型、2つの中身と注意点、手元の AI に150以上の道具を使わせる HexStrike AIとは｜AIに150のセキュリティツールを渡すMCPサーバの中身と危うさ です。Strix と Shannon にも当サイトの実測記事があり、上の個別記事から辿れます。
選び方——目的別
| 目的 | 候補 | 理由 |
|---|---|---|
| 自社の Web アプリをリリース前に診断（ソースあり） | Shannon・Strix | コードを読む、または PoC で裏を取るので誤検知が少ない |
| 検証環境や演習の対象をまとめて回す | PentAGI・PentestGPT（自律型） | 偵察から報告まで任せられる |
| 学びながら自分の手で進める（CTF など） | PentestGPT（対話型） | LLM が提案し、人が実行する |
| すでに使っている Claude などに道具だけ持たせる | HexStrike AI | MCP でつなぐだけ。判断は手元の AI |
どれも「AI が見つけた」結果をそのまま信じる道具ではありません。README の数字にも注意が要ります。PentestGPT の README にある成功率 86.5% は、README 自身が「過去の研究結果で現行版の保証ではない」と注記しており、リポジトリに残る 2026年7月の Hack The Box の記録は不合格でした。
動かす前に決める5つ——許可・範囲・隔離
BEFORE YOU RUN動かす前に決める5つ
道具を選ぶより先に許可と範囲を書面にする
-
1.書面の許可
対象の持ち主から、期間・手法・連絡先を含む許可を取る。自分の資産でも本番は関係者に知らせる
-
2.対象の範囲
ドメイン・IP・URL を列挙し、範囲外に出たら止める設定やプロンプトを入れる
-
3.隔離
攻撃ツールは使い捨てのコンテナや VM で。手元の認証情報や社内網に届かない所で動かす
-
4.LLM に渡すデータ
診断結果・ソースコード・認証情報が LLM 事業者に送られる。契約と社内規程を確認
-
5.記録と人の確認
実行したコマンドを全部残し、破壊的な操作と報告書は人が確かめる
- 書面の許可：対象の持ち主から、期間・手法・緊急時の連絡先を含めて許可をもらいます。許可のない診断は、不正アクセス禁止法などに触れるおそれがあります。
- 対象の範囲：ドメイン・IP・URL を列挙します。AI への「範囲内にとどまって」という指示は守られる保証がないので、範囲外に届かないことはネットワークの側で保証します。PentAGI でも PentestGPT でも、通信先を機械的に止める仕組みは道具の中には見つかりませんでした。
- 隔離：攻撃ツールは使い捨ての VM かコンテナで動かし、手元の認証情報・社内網・本番の鍵に届かない場所に置きます。診断対象の応答に仕込まれた指示（プロンプトインジェクション）で、AI が手元に牙をむく可能性があるためです。
- LLM に渡すデータ：診断の経過、ソースコード、見つけた認証情報が LLM 事業者に送られます。契約と社内規程を確かめるか、ローカル LLM を使います。
- 記録と人の確認：実行したコマンドをすべて残し、破壊的な操作と報告書は人が確かめます。OWASP の自律型ペンテストの基準（APTS）も、スコープ境界の維持・安全な自律動作・説明責任を、道具を選ぶときのガバナンス要件として定めています。
影響範囲と対策——道具そのものが攻撃面になる
AI ペンテストの OSS は、それ自体が強い権限を持つ実行環境です。PentAGI は設定例のままだとホストの Docker ソケットを root でマウントし、PentestGPT の自律型は全ツール・制限なしの権限で動き、HexStrike AI はツールの実行を受け付ける窓口を開きます。診断する道具を置いた場所が、攻撃者にとっての入口にもなりうるという前提で、上の5つの対策を先に済ませてから動かしてください。
