PentestChain propõe pentest automatizado orquestrado por MCP usando apenas LLMs gratuitos ou locais

O ponto de partida do PentestChain é econômico: pentest orientado por IA já foi demonstrado com modelos de ponta como GPT-4, mas o custo por token torna inviável rodar testes contínuos e automatizados para organizações menores, que são justamente as que mais precisam de segurança contínua e não têm orçamento para isso. A resposta proposta é uma cascata em camadas — primeiro tenta-se um modelo local pequeno (qwen2.5-7b rodando via Ollama), depois camadas gratuitas de provedores como OpenRouter e Cerebras, e por fim um fallback baseado em regras que sempre produz alguma saída — tudo isso ancorado por um mapa determinístico de exploits que reduz a dependência do LLM para as decisões mais críticas do pipeline de dez fases.

Tecnicamente, o sistema expõe sua funcionalidade através de um servidor Model Context Protocol (MCP) com onze ferramentas, o que levanta uma questão que os próprios autores tratam como contribuição de peso: qual é a superfície de ataque de uma ferramenta ofensiva exposta via MCP? Eles constroem um modelo de ameaça de quatro posições ancorado em incidentes reais de 2025 no ecossistema MCP — a vulnerabilidade de execução remota de código CVE-2025-6514 no mcp-remote, o backdoor de cadeia de suprimento encontrado no pacote postmark-mcp, e a classe de ataques de "tool poisoning", "rug pull" e "line jumping" que já foram documentados contra servidores MCP maliciosos ou comprometidos — e propõem quatro mitigações específicas para um servidor MCP que, por definição, executa ações ofensivas reais contra alvos.

A validação experimental segue testbeds padronizados da área (AutoPenBench, um subconjunto do Cybench e o benchmark de 182 subtarefas do PentestGPT), com estatísticas de múltiplas execuções, testes de significância não paramétricos e comparação direta — não apenas citada — contra as linhas de base PentestGPT e PentestAgent rodando no mesmo testbed. Nos alvos legados avaliados até a publicação, o framework detectou 26 serviços e enriqueceu 34 CVEs relevantes, o que indica um pipeline funcional de reconhecimento e correlação de vulnerabilidades, embora os autores sejam claros de que a exploração automatizada completa ainda está em fase de expansão.

O caso é relevante para o cenário de segurança ofensiva porque reduz ainda mais a barreira de custo para automação de pentest, tornando plausível que tanto defensores com orçamento limitado quanto atacantes oportunistas rodem varreduras e correlação de vulnerabilidades massivas e contínuas usando infraestrutura essencialmente gratuita. Ao mesmo tempo, ao documentar formalmente os riscos de expor uma cadeia ofensiva via MCP, o trabalho serve de referência para qualquer equipe que esteja avaliando adotar servidores MCP de terceiros para automação de segurança — o mesmo protocolo que orquestra o ataque também pode ser o elo fraco que um atacante sequestra.