proofmark

Proofmark 是一个开源的自主渗透测试智能体。它在隔离的 Docker 沙箱中动态运行代码，提出假设，并在报告任何内容之前复现漏洞利用。它面向希望获得快速、准确测试的开发者和安全团队，既没有人工渗透测试的开销，也没有静态扫描器的噪声。每条发现都附带它发出的请求和证明影响的响应；如果无法证明，就不会报告。

Proofmark 支持任意目标：在线 URL、本地代码库、git 仓库、OpenAPI/Swagger 规范或 Postman 集合。其智能体工具集包括侦察、OSINT、HTTP 拦截代理、真实浏览器、代码阅读器、shell 和经过验证的自动修复器。侦察智能体先绘制目标地图，然后利用智能体证明其所能证明的内容，二者共享一块黑板。它通过 LiteLLM 与提供商无关，支持 OpenAI、Anthropic、Azure 等。

信任与安全特性包括强制授权：范围在代码中检查，超出范围的请求在离开进程前就会被拒绝。安全模式会阻止破坏性的 HTTP 方法（PUT/PATCH/DELETE），因此智能体只通过读取来证明影响，绝不通过修改数据。每次运行都经过签名、可验证且可回放，记录采用哈希链、可选签名且可回放。每次运行的成本核算会报告精确的 token 数和预估的美元成本。认证测试让智能体能以已登录用户的身份进行测试。