Nightcrawler è un agente open source di penetration testing che gira interamente su smartphone. Piazzi un OnePlus 8 con Kali NetHunter su una rete, ti allontani, e l’agente scopre i dispositivi, mappa i servizi, cerca vulnerabilità e genera un report strutturato. Tutto in locale: il modello di 1.2 miliardi di parametri (LFM2.5) gira sulla GPU del telefono via OpenCL. Nessuna connessione internet, nessuna API cloud.

È il primo segnale concreto di un agente di sicurezza completamente offline su device mobile. Chi costruisce sistemi privacy-first guarda ai modelli piccoli su edge device come alternativa a inviare dati ai server. Nightcrawler dimostra che un modello da 1.2B può orchestrare un compito complesso multi-passo: scansione, enumerazione, exploit, report. L’agente lavora come un pentester umano paziente, un’azione per turno, con una conoscenza che si accumula gradualmente in ore di lavoro silenzioso.

Come raccontavamo il 24 luglio, i guardrail dei modelli frontier bloccano chi fa ricerca di sicurezza offensiva e spingono i professionisti verso i modelli open locali. Nightcrawler è la materializzazione di quel trend: quando il cloud ti chiude la porta, il telefono basta.

Il repo è pubblico su GitHub, versione v0.1.0, ed è dichiaratamente un esperimento, non un prodotto pronto.

Nel dettaglio

Il contesto: scanner, umani, agenti.

Il pentesting tradizionale si fa con scanner automatici (nmap, Nessus) che bombardano ogni host in pochi secondi, oppure con professionisti che lavorano a mano per ore. Nightcrawler sta nel mezzo: un agente che lavora come un pentester paziente. Un’azione per turno, conoscenza che si accumula, ore di lavoro. Il README lo dice chiaro: questo lo rende più difficile da rilevare rispetto agli scanner che colpiscono tutto insieme.

L’approccio stealth non è un dettaglio tecnico. Uno scanner tradizionale genera traffico che un sistema di monitoraggio (IDS/IPS) rileva in secondi. Un agente che fa un’azione per turno, aspetta, osserva, poi fa la successiva, si confonde nel rumore di fondo della rete. Per chi costruisce difese, questo significa che il test realistico non è più solo lo scanner veloce: deve includere il caso dell’avversario paziente.

Come funziona.

L’agente gira su un OnePlus 8 rootato con Kali NetHunter. Il cervello è LFM2.5-1.2B-Instruct-Heretic, un modello da 1.2 miliardi di parametri della famiglia LFM2.5 di LiquidAI, la stessa che abbiamo visto a luglio puntare sull’efficienza. Il modello è caricato sulla GPU del telefono via OpenCL ed espone un’interfaccia locale sulla porta 8080.

L’agente usa il Model Context Protocol (MCP) per chiamare strumenti: scanner di rete, tool di enumerazione, exploit. Una web dashboard locale funge da Command and Control per monitorare e guidare l’agente mentre lavora. Il flusso ha cinque fasi: scoperta dei dispositivi (scansione stealth), enumerazione dei servizi (web server, file share, SSH, DNS), test delle vulnerabilità note e credenziali di default, generazione del report con raccomandazioni. Se non c’è WiFi, può craccare WPA2 con un adattatore USB esterno.

I limiti.

È v0.1.0. Gira su un solo device, con un solo modello. Il modello da 1.2B parametri può decidere quale tool usare e cosa guardare, ma non sostituisce il giudizio di un pentester esperto. Non c’è un benchmark di copertura delle vulnerabilità trovate rispetto a un professionista umano. Il repo ha 16 commit e nessuna documentazione di test sistematici.

Il segnale oltre il tool.

Il punto non è se Nightcrawler sia pronto per la produzione. Il punto è che l’architettura esiste e funziona: modello locale su edge device, orchestrazione via MCP, ciclo agente di azione e osservazione. Lo stesso pattern vale per ogni dominio dove la privacy rende il cloud impraticabile: audit su reti isolate, analisi di dati sensibili, controllo di sistemi air-gapped.