{"title":"DarkMoon: как перейти от абстрактных оценок уязвимостей к доказательствам","url":"https://verapointmedia.com/tools/ascit31-dark-moon/","markdownUrl":"https://verapointmedia.com/tools/ascit31-dark-moon.md","language":"ru","category":"tools","publishedAt":"2026-09-26T12:39:45.000Z","updatedAt":"2026-09-26T12:39:45.000Z","references":["https://github.com/ASCIT31/Dark-Moon"],"rights":"Public user-requested reading, summarization and citation allowed. Model training requires separate permission.","contentMarkdown":"# DarkMoon: как перейти от абстрактных оценок уязвимостей к доказательствам\n\n- Site: VeraPoint News\n- Section: Инструменты\n- Date: 2026-09-26\n- Canonical: https://verapointmedia.com/tools/ascit31-dark-moon/\n- Markdown: https://verapointmedia.com/tools/ascit31-dark-moon.md\n- Summary: Как перестать тратить часы на проверку ложноположительных срабатываний сканеров и сразу увидеть, какие уязвимости действительно угрожают вашей инфраструктуре? Инструмент DarkMoon (репозиторий ASCIT31/Dark-Moon, 970 звезд, лицензия GPL-3.0) автоматизирует тестирование на проникновение, предоставляя не просто баллы опасн\n- Target queries: AI tools; AI agents; ascit31-dark-moon\n- Tags: #ai #technology\n- Image: https://verapointmedia.com/static/content-assets/tools/ascit31-dark-moon/cover.webp\n\n## Sources\n\n- https://github.com/ASCIT31/Dark-Moon\n\n---\n\n## Где взять\n\n[ASCIT31/Dark-Moon — открыть на GitHub](https://github.com/ASCIT31/Dark-Moon)\n\nОткрытая лицензия: GPL-3.0 · 970 stars.\n\nКак перестать тратить часы на проверку ложноположительных срабатываний сканеров и сразу увидеть, какие уязвимости действительно угрожают вашей инфраструктуре? Инструмент DarkMoon (репозиторий ASCIT31/Dark-Moon, 970 звезд, лицензия GPL-3.0) автоматизирует тестирование на проникновение, предоставляя не просто баллы опасности, а реальные доказательства эксплуатации в виде команд и их вывода.\n\n### Почему это меняет правила игры\n\nТрадиционные сканеры безопасности часто выдают длинные списки уязвимостей с абстрактными оценками. Инженер вынужден тратить время на «триаж» — ручную проверку каждого пункта, чтобы понять, является ли находка реальной угрозой или ошибкой алгоритма. DarkMoon меняет этот подход: система автономных агентов не просто ищет слабые места, она пытается их эксплуатировать и фиксирует результат. Каждая найденная уязвимость сопровождается точной командой и «сырым» (raw) выводом системы, что позволяет инженеру сразу увидеть, сработал ли эксплойт.\n\n### Как это работает\n\nВ основе DarkMoon лежит агентная система, которая самостоятельно планирует действия и распределяет задачи между 50 специализированными агентами. Эти агенты охватывают широкий спектр поверхностей: от веб-приложений и API до облачных сред, Kubernetes, CI/CD и даже LLM-эндпоинтов (согласно OWASP LLM Top 10). \n\nВажный аспект безопасности — принцип работы через «шлюз приватности» (Privacy Gateway). Инструмент токенизирует реальные IP-адреса, хосты и учетные данные, превращая их в локальные заглушки. Модель рассуждает на основе этих меток, а реальные значения остаются внутри вашего периметра. Кроме того, ИИ никогда не выполняет команды напрямую: любое действие проходит через контролируемый и логируемый интерфейс MCP (Model Context Protocol), что делает процесс прозрачным и предсказуемым.\n\n### Сценарий использования\n\nПредставьте, что вам нужно проверить защищенность нового веб-сервиса. Вы запускаете DarkMoon через командную строку, указывая целевой адрес. Система проводит разведку, определяет стек технологий и «выпускает» нужных агентов. В терминале вы в реальном времени наблюдаете за потоком команд: агент обнаруживает уязвимость, например, CVE-2019-9978, и тут же пытается её эксплуатировать. Весь процесс, включая команды и ответы сервера, записывается в лог, который вы можете изучить позже для подтверждения находки.\n\n### Как начать\n\nДля работы потребуются Docker, Docker Compose и API-ключ LLM (или локальная модель, например, через Ollama). \n\n1. Клонируйте репозиторий: `git clone https://github.com/ASCIT31/Dark-Moon.git`.\n2. Запустите скрипт установки: `./install.sh`.\n3. Запустите сканирование: `./darkmoon.sh \"TARGET: example.com\"`.\n\nИнструмент поддерживает интеграцию с GitHub, GitLab, Jenkins, VS Code, JetBrains и другими платформами, что позволяет встраивать проверки прямо в пайплайны разработки.\n\n### Границы применимости\n\nВажно понимать, что DarkMoon в открытой версии — это CLI-инструмент. Функции веб-дашборда, автоматического создания Pull Request для исправления уязвимостей и расширенная отчетность относятся к платной версии DarkMoon Pro и не входят в состав открытого репозитория. Также эффективность работы напрямую зависит от качества используемой LLM.\n\n### Вердикт\n\nСтоит попробовать, если вы устали от бесконечных списков «потенциальных» уязвимостей и хотите видеть доказательства их существования, подтвержденные машинным исполнением.\n\nЛучше выбрать другой путь, если вам нужно готовое решение с графическим интерфейсом «из коробки» и автоматическим исправлением кода — в этом случае стоит рассмотреть платные корпоративные инструменты или версию Pro.\n\n## Похожие материалы\n\n- [Как отличить рабочий AI-инструмент от красивой демки](https://verapointmedia.com/guides/kak-otlichit-rabochiy-ai-instrument-ot-krasivoy-demki/)\n- [Что такое AI-агент простыми словами](https://verapointmedia.com/guides/chto-takoe-ai-agent-prostymi-slovami/)\n"}