SwarmAutonomer Agent für Penetrationstests

SwarmAttacker ist ein quelloffener autonomer Agent für Penetrationstests, der eine Webanwendung allein aus ihrer URL heraus testet. Ein Schwarm aus Sprachmodell-Agenten kartiert das Ziel, findet Schwachstellen und schreibt auf, was er gefunden hat. Er steht unter der MIT-Lizenz, der Code liegt auf GitHub, und er läuft über das ChatGPT-Abo, für das du ohnehin schon zahlst.

SwarmAttacker arbeitet als Black-Box und startet allein aus einer URL heraus, ohne Quellcode. Ein einzelner Planner-Agent trifft jede Entscheidung und beauftragt Wellen von Worker-Agenten für Reconnaissance und Exploitation, dazu eine Websuche bei Bedarf. Ein Summarizer verdichtet ihre Traces zu Findings, die zum Planner zurücklaufen, über bis zu 50 Runden, bis der Planner ein Ergebnis verifiziert und den Abschlussbericht schreibt.

SwarmAttacker ist kostenlos und quelloffen; die einzige Ausgabe ist das Modell. Standardmäßig meldet er sich mit dem ChatGPT-Plus- oder -Pro-Konto an, das du bereits hast, über das Codex-Backend, sodass es keinen API-Schlüssel und keine Abrechnung pro Token gibt. Ein Lauf verbraucht im Schnitt 2,14 Millionen Token, und wenn das Nutzungslimit eines Plans erreicht ist, pausiert der Agent und setzt fort, statt zu scheitern.

Installiere SwarmAttacker mit einem Befehl: brew install joloooo/swarm/swarm über Homebrew, pipx install swarmattacker oder uv tool install swarmattacker. Das Kommandozeilen-Tool heißt swarm. Um das Standard-ChatGPT-Backend zu nutzen, installiere die Codex-CLI und melde dich einmal mit deinem ChatGPT-Konto an; SwarmAttacker verwendet dieses Login weiter, sodass kein Schlüssel erzeugt oder eingefügt werden muss.

SwarmAttacker löst 94% des XBOW-Benchmarks, 98 von 104 verwundbaren Webanwendungen, in einem einzigen Durchlauf auf GPT-5.5. Der Beste von fünf menschlichen Profis erreichte 85% bei rund 40 Stunden pro Person, und XBOWs eigener selbst berichteter Wert liegt ebenfalls bei 85%. Frühere Agenten wie PentestGPT, VulnBot und PentestAgent erreichen im besten Fall zwischen 51% und 61% ihres Best-of-Three-Spitzenwerts.

Ein typischer Lauf ist in etwa 15 Minuten fertig, der Median der Lösezeit über den XBOW-Benchmark. Benchmark-Läufe waren auf 40 Minuten begrenzt; wenn die Zeit abläuft, stoppt der Agent und schreibt seinen Bericht mit dem, was er gefunden hat. Die Lösezeiten sind bimodal: Die meisten Ziele fallen in den niedrigen bis mittleren Zehnerbereich, und die schwereren brauchen einen zweiten Akt jenseits von 20 Minuten.

SwarmAttacker erstellt einen belegbasierten Penetrationstest-Bericht, den du an ein Team weitergeben kannst. Wenn der Agent ein Finding verifiziert oder die Zeit abläuft, aggregiert er die Belege, die seine Worker-Agenten gesammelt haben, zu einem teilbaren Bericht, der die durchgeführten Schritte dokumentiert. Findings werden während des Laufs in strukturierter Form erfasst, sodass der Bericht widerspiegelt, was tatsächlich nachgewiesen wurde, und nicht eine Vermutung.

Sicherheitsfilter können einen autorisierten Penetrationstest nicht von einem Angriff unterscheiden, also verweigern sie beides. SwarmAttacker behandelt eine Verweigerung als vorübergehenden Zustand, nicht als Urteil: Er entschärft belastete Formulierungen, bevor eine Anfrage gesendet wird, wiederholt dieselbe Anfrage, formuliert sie um und übergibt sie schließlich an ein nachgiebigeres Schwestermodell. Bei 411 harten Verweigerungen löste diese Leiter 100%, und sie abzuschalten kostete 22 Benchmarks.

SwarmAttacker fährt standardmäßig GPT-5.5, mit GPT-5.4 als Fallback-Modell, über das Codex-Backend mit deinem ChatGPT-Abo. Er unterstützt außerdem die OpenAI-API mit deinem eigenen Schlüssel, Anthropic-Claude-Modelle, jedes gehostete Modell über OpenRouter und vollständig offline betriebene lokale Modelle über Ollama oder llama-server. Das Backend ist austauschbar; der Rest des Agenten bleibt gleich.

Betreibe SwarmAttacker nur gegen Systeme, die dir gehören oder für deren Test du ausdrücklich autorisiert bist. Es ist ein Werkzeug für autorisierte Penetrationstests, und sein Umgang mit Verweigerungen existiert, damit legitime Tests nicht blockiert werden, nicht um Angriffe auf Ziele zu ermöglichen, für die du keine Erlaubnis hast. Der Agent läuft auf deinem eigenen Rechner und untersucht und exploitet das Ziel, das du nennst, also nutze eine Labor- oder Staging-Kopie, nicht die Produktion.