Pitch: Transformei o Claude em um Hacker 😵‍💫

Enquanto a comunidade inteira discute se IA vai substituir programador júnior, eu estava ensinando o Claude Code a fazer pentest.

Não estou falando de pedir "me explica o que é SQL injection" num chat. Estou falando de um ambiente operacional completo, com reconhecimento automatizado, encadeamento de técnicas, agentes autônomos fazendo triagem de alvos, controle de OPSEC por perfil, e relatório gerado no final do engagement. Tudo rodando dentro do Claude Code, usando a mesma arquitetura de plugins que as pessoas usam pra formatar commit messages.

O nome do projeto é fsociety. E a parte mais interessante não é o que ele faz. É o que ele revela sobre o que já estava ali o tempo todo, esperando alguém olhar direito.

O que acontece quando você leva a arquitetura de plugins a sério

O Claude Code tem um sistema de plugins que a maioria das pessoas ignora. Você pode definir comandos, skills que ativam automaticamente por contexto, agentes especializados, hooks que disparam scripts em momentos específicos do ciclo de vida. Tudo isso com arquivos markdown e scripts Node.js, sem nenhuma dependência externa.

Essa arquitetura, que parece simples na superfície, permite algo que nenhuma ferramenta de segurança tradicional oferece: um operador que entende linguagem natural, adapta sua abordagem ao contexto do alvo, e mantém estado entre as etapas de um engagement.

O fsociety é um time de agentes (plugins), cada um cobrindo um domínio específico de segurança ofensiva. Cinco e-candango, cada um autônomo, cada um com seus próprios comandos, skills, agentes e scripts.

A parte que muda o jogo

Ferramentas de segurança tradicionais são boas no que fazem. Nmap escaneia. Burp intercepta. Metasploit explora. Cada uma opera no seu universo, com seu formato de output, sua interface, sua lógica.

O que nenhuma delas faz é pensar sobre o que está fazendo.

Quando o fsociety encontra uma vulnerabilidade durante uma enumeração, ele não despeja um JSON e espera que você decida o próximo passo. Ele sabe qual metodologia está seguindo, em qual fase do engagement está, quais técnicas já tentou contra aquele alvo. O skill de web assessment ativa automaticamente quando detecta que você está olhando pra uma aplicação web. O agente de reconhecimento sai fazendo triagem sem que você peça. O sistema de campanha mantém tudo rastreável e deduplicado.

Isso não é automação no sentido clássico. Não é um script que roda uma sequência fixa de comandos. É um operador que adapta sua abordagem em tempo real, que entende quando mudar de técnica, que sabe quando escalar privilégios e quando recuar pra manter OPSEC.

Zero dependências, por design

Uma decisão que parece excêntrica mas é deliberada: nenhum plugin tem package.json. Nenhum npm install. Cada script usa apenas os módulos nativos do Node.js. fs, path, crypto, child_process.

Em segurança ofensiva, cada dependência é superfície de ataque. Cada pacote npm é código de terceiro rodando na sua máquina de operações. A escolha por zero dependências não é purismo técnico. É OPSEC.

Os dados ficam em arquivos JSONL, append-only, deduplicados por SHA256. Estado de sessão em JSON. Tudo gitignored por padrão, porque dados de engagement não vão pra repositório.

O que isso significa pra quem trabalha com segurança

Existe um gap enorme entre ter acesso a ferramentas de pentest e conduzir um engagement estruturado. Qualquer pessoa com Kali Linux instalado tem nmap, nikto, sqlmap na ponta dos dedos. O que falta é a metodologia, o encadeamento das etapas, a documentação contínua, a capacidade de adaptar a abordagem quando as coisas não saem como esperado.

O fsociety não substitui essas ferramentas. Ele as orquestra. O Kali roda por baixo, o Hexstrike faz a ponte via MCP, e o Claude Code conduz. Você continua precisando saber o que está fazendo. A diferença é que agora tem um operador incansável ao seu lado, que não esquece de documentar um finding, que não pula uma etapa da metodologia porque ficou com preguiça às 3 da manhã, e que consegue correlacionar informações de cinco fontes diferentes em tempo real.

O elefante na sala

Ninguém na Anthropic desenhou o Claude Code pensando em segurança ofensiva (mas muito curioso já tentou alguma coisa né). O sistema de plugins existe pra produtividade de desenvolvedor. Os hooks existem pra linting e formatação. Os agentes existem pra ajudar a navegar codebases grandes.

Eu não hackeei o Claude Code. Eu apenas usei o que já estava lá.

Skills que ativam por contexto viraram metodologias ofensivas que se adaptam ao alvo. Agentes que navegam código viraram operadores que fazem triagem de superfície de ataque. Hooks de ciclo de vida viraram gatilhos que atualizam trackers de vulnerabilidade e rotacionam identidade. O sistema de plugins, que foi pensado pra organizar comandos de desenvolvimento, virou uma arquitetura modular de pentest com isolamento entre domínios.

A pergunta desconfortável não é se isso deveria existir. É por que ninguém fez antes. Cada ferramenta que você usa hoje carrega capacidades que o fabricante nunca imaginou. O gap entre "assistente de código" e "plataforma de segurança ofensiva" não era técnico. Era de imaginação.

Não recomendo ninguém a utilizar o fsociety, mas dêem uma olhada tem bastante conceito legal sobre plugins lá.

Fé nas criança, fui.

P.S.: Sdds Cicada 3301