Wyobraź sobie, że zamiast składać kolejne komendy w terminalu piszesz do asystenta: „Zrób rekonesans tej sieci, sprawdź otwarte porty i zasugeruj kolejne kroki.” System sam dobiera narzędzia, czyta output i proponuje, co dalej.
Taki układ — Kali Linux, model językowy i MCP — przestał być mrzonką przyszłości. Da się to złożyć lokalnie albo na kontrolowanym VPS. Da się też złożyć źle: bez zakresu, bez zgody, z modelem, który odpala skaner, bo „użytkownik tak napisał”.
Ten wpis opisuje architekturę, co z niej realnie wynika i kiedy w ogóle wolno jej użyć. Nie jest tutorialem ataku. Nie ma tu payloadów, gotowych łańcuchów exploitów ani instrukcji „jak ominąć zabezpieczenia cudzego hosta”.
Wiedziałeś? Asystent, który „odpali nmapa”, bez zakresu i zgody, to nie rekonesans. To nielegalne skanowanie cudzej sieci — niezależnie od tego, czy komendę wpisał człowiek, czy model.
Czego ten stack nie robi
Tytuł kłamie, jeśli przeczytać go dosłownie.
Model nie ma uprawnień. Nie rozumie Twojej umowy. Nie odróżni labu od produkcji jeśli mu tego nie powiesz. Nie poniesie odpowiedzialności karnej. Operator ponosi.
Bez umiejętności zostaje: hałaśliwy skan, fałszywe „znaleziska”, narzędzia odpalone poza zakresem. Z umiejętnościami zostaje: krótsza enumeracja, mniej walki ze składnią, więcej czasu na decyzję, czy wynik w ogóle coś znaczy.
AI nie zastępuje pentestingu. Przyspiesza etapy, zmienia bottleneck jakim jest człowiek.
Czym jest ten stack
Trzy warstwy:
- Kali Linux — lokalnie albo na VPS. Klasyczny zestaw narzędzi do testów (m.in. skanowanie, enumeracja, exploit frameworki). Sam system nic nie „hackuje”. Udostępnia binaria.
- Model AI — lokalnie albo na wynajętej karcie (np. Vast.ai na godziny). Część osób wybiera warianty słabiej cenzurowane, bo modele z twardym safety odmawiają nawet pytań o autoryzowany test. To nie jest dowód, że model jest lepszy. Jest mniej skłonny powiedzieć „nie”. Odmowa bywa hamulcem, nie błędem.
- MCP (Model Context Protocol) — warstwa, która podpina konkretne narzędzia pod model. Asystent nie „ma Kali”. Ma listę wywołań, które ktoś wcześniej wystawił, i dostaje z powrotem wynik do analizy.
Bez MCP zostaje czat: możesz wkleić output ręcznie. Z MCP model może sam odpalić uzgodnione narzędzie i wrócić z logiem. Różnica jest operacyjna, nie magiczna.
Wiedziałeś? MCP nie otwiera modelu „na cały root”. Otwiera mu tyle, ile operator podłączył. Jeśli podłączysz skaner i hydrę do publicznego internetu bez zatwierdzania — to nie wina protokołu. To Twój scope.
Co z tego wynika w praktyce
W legalnym zakresie taki układ bywa użyteczny, bo:
- skraca rutynę: rekonesans, enumeracja, pierwsze czytanie logów;
- zdejmuje część składni, jeśli wiesz, jakie pytanie zadać;
- może zostać w pełni lokalnie albo w swoim VPS — istotne przy materiale, który nie ma prawa wylądować w chmurze dostawcy czatu;
- moc obliczeniową modelu i VRAM potrzebny do obsługi modelu da się „dołożyć” na godziny, wynajmując GPU, zamiast kupować kartę „na stałe”.
Nie wynika z tego, że junior z promptem zrobi red team. Wynika, że ktoś, kto umie czytać nmapa i wie, czego nie ruszać, mniej czasu spędza na przepisywaniu flag.
Jeśli wynik ma iść do raportu, operator i tak musi: potwierdzić fakt, oddzielić hipotezę, sprawdzić, czy narzędzie było w zakresie. Model chętnie napisze „krytyczne RCE”, gdy dostał timeout.
Kiedy test penetracyjny jest legalny
To nie jest akapit na koniec. Bez tego reszta tekstu jest reklamą przestępstwa.
Dozwolone jest wtedy, gdy zachodzi któryś z warunków:
- masz pisemną zgodę właściciela systemu albo sieci (umowa, scope of work, mail z jednoznacznym zakresem — nie „znajomy powiedział, że możesz”);
- testujesz własną infrastrukturę: swoje serwery, aplikacje, sieć domową albo firmową, którą masz prawo ruszać;
- działasz w autoryzowanym bug bounty i siedzisz w regulaminie (hosty, typy testów, godziny, dane);
- pracujesz na oficjalnych labach i platformach edukacyjnych: Hack The Box, TryHackMe, PortSwigger Academy, własne laby, odizolowany zakres;
- masz umowę na red team / pentest z zapisanym zakresem, wyłączeniami, zasadami eskalacji i oknem czasowym.
We wszystkich innych przypadkach odpalanie narzędzi ofensywnych wobec systemów, do których nie masz uprawnień, jest nielegalne. „To tylko skan” nie jest obroną. „AI samo to zrobiło” też nie.
Jeśli nie jesteś pewien, czy plan mieści się w prawie — zatrzymaj się. Lepiej wyjaśnić zakres wcześniej niż tłumaczyć logi później.
Wiedziałeś? Zgoda na „sprawdzenie strony” zwykle nie obejmuje skanowania całej klasy IP, brute-force kont klientów ani testu na produkcji w godzinach szczytu. Scope, którego nie ma na piśmie, nie istnieje.
Jak to się składa (bez przepisu na atak)
Najczęstsze warianty:
- Stacja lokalna z Kali + model na tej samej maszynie albo na wynajętym GPU.
- VPS z Kali + model po stronie, do której masz tunel, a nie publiczny czat z historią.
- Mieszanka — narzędzia na VPS, wnioskowanie na GPU, operator zatwierdza wywołania ze swojego pulpitu.
Elementem, który trzyma to w ryzach, jest serwer MCP: wystawia modelowi wybrane narzędzia, loguje wywołania, może wymagać akceptacji zanim cokolwiek wystartuje. Operator zostaje w pętli. Autopilot bez zatwierdzania to świadoma decyzja, nie „tak działa AI”.
Czego w tym wpisie nie będzie: konkretnych flag, gotowego mcp.json pod stack ofensywny, listy „odpal to na cudzym hoście”. Architektura i wariant pod konkretne środowisko to rozmowa o sprzęcie, zakresie i tym, co nie wolno podpinać.
Podsumowanie
Kali + model + MCP to realny kierunek: mniej klepania składni, szybsza enumeracja, ten sam obowiązek myślenia.
Nie jest to hackowanie bez umiejętności. Jest to narzędzie, które umiejętności zużywa szybciej — w obie strony. Z zakresem przyspiesza pracę. Bez zakresu przyspiesza problem prawny.
Technologia jest warstwą. Legalność i etyka nie są pluginem MCP.
Jeśli chcesz omówić wariant pod swoje laby albo pod formalny test (sprzęt, model, co operator ma zatwierdzać, czego nie wystawiać) — napisz przez kontakt. Opisz środowisko i ograniczenia. Bez tego nie ma sensownej architektury, tylko kolejny prompt.