Clearwing je open-source nástroj, který zkouší spojit agentní AI workflow s bezpečnostním testováním. Nejde jen o další wrapper nad LLM modelem. Projekt míří na dvě praktické věci zároveň: skenování živých cílů v síti a hledání zranitelností přímo ve zdrojovém kódu. Zajímavé je hlavně to, že autoři chtějí podobný typ práce dělat nad běžně dostupnými modely, ne jen nad uzavřeným interním stackem.
Za projektem stojí Eric Hartford z Lazarus AI. Clearwing navazuje na Glasswing od Anthropicu, ale zkouší podobný směr postavit jako veřejně dostupný nástroj pro širší použití.
V praxi má Clearwing dva režimy. První funguje jako agent pro network pentest: skenuje cíle, zjišťuje služby a zranitelnosti, pouští sandboxované Kali nástroje a pokusy o exploit drží za human-approval guardrailem. Druhý režim je source-code hunter, který si nejdřív seřadí soubory podle relevance, potom nad nimi paralelně spouští další agenty, ověřuje nálezy druhým průchodem a umí vracet reporty v SARIF, Markdownu i JSONu. U nálezů navíc rozlišuje úroveň důkazu od pouhého podezření až po reprodukovaný pád, vysvětlenou root cause nebo validovaný patch.
Na repozitáři je vidět i snaha dotáhnout projekt do použitelného release. Verze 1.0.0 vyšla 14. dubna 2026 a balíček je dostupný jako Python projekt pro verze 3.10 a vyšší. Instalace počítá s uv, projekt podporuje více providerů přes OpenAI-compatible endpointy a přidal i interaktivní setup wizard a příkaz doctor pro kontrolu prostředí. Tohle je důležité hlavně proto, že podobné AI security nástroje často končí jako demo bez rozumného provozu; tady je vidět pokus o reálnější workflow pro bezpečnostní týmy a vývojáře. Projekt je ale explicitně označený jako dual-use tool a autoři uvádějí, že se má používat jen na systémech s výslovným oprávněním.
Zdroje:
