Nightcrawler: KI-Agent für Penetration Testing läuft auf einem einzigen Smartphone – ganz ohne Cloud
Entwickler stellen Nightcrawler vor, einen autonomen Pentest-Agenten, der mit einem kleinen KI-Modell auf einem OnePlus 8 läuft: Einfach das Telefon ins Netzwerk legen – alles Weitere erledigt er selbst, komplett offline.
Ein neues Open-Source-Projekt namens Nightcrawler wurde auf Hacker News vorgestellt und erzielte innerhalb weniger Stunden über 102 Punkte sowie rund 30 Kommentare. Kern des Projekts ist ein Agent für Penetration Testing, der vollständig autonom auf einem einzigen Smartphone arbeitet. Der Nutzer legt das Telefon lediglich in das zu testende Netzwerk – der Agent findet anschließend selbstständig Hosts, kartiert Dienste, sucht nach Schwachstellen und erstellt daraus einen Pentest-Bericht, ohne jemals Daten in die Cloud zu senden.
Als Demo-Hardware dient ein OnePlus 8 mit installiertem Kali NetHunter (einem Betriebssystem für mobile Sicherheitsarbeit). Das „Gehirn“ des Systems ist das kleine KI-Modell LFM2.5-1.2B mit nur 1,2 Milliarden Parametern, das lokal auf der Smartphone-GPU über OpenCL läuft. Das Modell entscheidet, was als Nächstes zu tun ist: welcher Host geprüft wird, welches Tool zum Einsatz kommt und wonach gesucht werden soll. Die aktuelle Version v0.1.0 ist noch ein sehr frühes Entwicklungsstadium.
Interessant ist die Arbeitsweise: Der Agent imitiert einen geduldigen, ausdauernden menschlichen Pentester. Statt wie klassische Schwachstellenscanner alle Geräte gleichzeitig zu scannen, geht er Host für Host vor, führt kleine Schritte nacheinander aus und sammelt über Stunden hinweg nach und nach Wissen an. Laut dem Entwickler lässt sich diese Methode schwerer erkennen als herkömmliche Scans.
Ein weiteres Detail, dem die Community Aufmerksamkeit schenkte, ist der Entwicklungsprozess: Der Ersteller nutzte Claude Code als Cron-Job, der alle 5 Minuten läuft, um das Verhalten des Agenten zu prüfen, Bugs zu beheben und Beobachtungen automatisch zu protokollieren – ein Beispiel dafür, wie KI zur Entwicklung eines KI-Systems eingesetzt wird. Alle Angaben stammen bislang primär vom Entwickler selbst; unabhängige Tests oder Berichte gibt es noch nicht.
Diese Nachricht zeigt, dass KI-gestützte Pentest-Werkzeuge so weit geschrumpft sind, dass sie auf erschwinglichen Mobilgeräten laufen. Unternehmen, die für Netzwerksicherheit verantwortlich sind, sollten sich bewusst sein, dass unbekannte Geräte im Netzwerk zu einer neuen Art von Risiko werden können. Gleichzeitig könnten Sicherheitsteams denselben Ansatz nutzen, um ihre eigenen Systeme kostengünstig zu testen.