Nightcrawler : un agent IA de pentest qui tourne sur un seul smartphone, sans cloud
Un développeur dévoile Nightcrawler, un agent de test d'intrusion autonome propulsé par un petit modèle d'IA sur un OnePlus 8 : il suffit de poser le téléphone sur le réseau pour qu'il fasse tout le travail, sans connexion Internet.
Un nouveau projet open source baptisé Nightcrawler a été présenté sur Hacker News et a suscité plus de 102 points et une trentaine de commentaires quelques heures après sa publication. Son cœur : un agent de test d'intrusion (pentest) entièrement autonome, fonctionnant sur un seul smartphone. L'utilisateur pose simplement le téléphone sur le réseau à tester, puis le laisse découvrir les hôtes, cartographier les services, rechercher les vulnérabilités et générer un rapport de pentest, le tout sans jamais envoyer de données vers le cloud.
Le matériel utilisé pour la démonstration est un OnePlus 8 équipé de Kali NetHunter (un système d'exploitation mobile dédié à la cybersécurité). Le cerveau du système est un petit modèle d'IA, LFM2.5-1.2B, de seulement 1,2 milliard de paramètres, exécuté localement sur le GPU du téléphone via OpenCL. Ce modèle décide des prochaines étapes : quel hôte examiner, quel outil utiliser et quoi rechercher. La version actuelle, v0.1.0, reste un projet très précoce.
L'aspect intéressant est que son fonctionnement a été conçu pour imiter un pentester humain, patient et méthodique. Au lieu de scanner toutes les machines simultanément comme les outils classiques de détection de vulnérabilités, il inspecte les hôtes un par un, effectue de petites étapes à chaque cycle et accumule progressivement ses connaissances pendant plusieurs heures. Selon le développeur, cette approche le rend plus difficile à détecter qu'un scan traditionnel.
Un autre détail a retenu l'attention de la communauté : le processus de développement. Le créateur a configuré Claude Code en tâche cron s'exécutant toutes les 5 minutes pour surveiller le comportement de l'agent, corriger les bugs et consigner automatiquement ses observations — un exemple d'IA aidant à développer un autre système d'IA. À noter que toutes les informations proviennent principalement du développeur lui-même ; aucun test ni rapport indépendant n'a encore été publié.
Cette actualité montre que les outils de pentest pilotés par IA se miniaturisent au point de fonctionner sur des appareils portables abordables. Les organisations thaïlandaises chargées de la sécurité réseau doivent prendre conscience qu'un appareil inconnu laissé sur le réseau peut devenir un nouveau type de risque. Dans le même temps, les équipes de sécurité pourraient exploiter la même approche pour tester leurs propres systèmes à moindre coût.