KittySploit ist eine modulare Plattform für Sicherheitstests, die ein Python-Framework, eine Weboberfläche, einen Proxy zur Traffic-Analyse und KI-gestützte Funktionen kombiniert. Sie richtet sich an professionelle Red Teams, autorisierte Penetrationstester, Sicherheitsforscher und DevSecOps-Teams. KittySploit ist weder ein Allzweck-KI-Assistent noch ein automatisches System zur Unternehmensverteidigung: Die Plattform kann helfen, eine technische Bewertung zu strukturieren, ersetzt aber weder Fachwissen noch Ergebnisprüfung oder die Genehmigung des Systemeigentümers.
Das Projekt wird vom KittySploit Team und SIA-IOTechnology gepflegt. Der Kerncode ist im offiziellen GitHub-Repository verfügbar, während gehostete Funktionen und kommerzielle Pläne auf der KittySploit-Website beschrieben werden.
Framework und KittyProxy unter einer Oberfläche
Das Produkt basiert auf einem erweiterbaren Framework mit Modulen für Reconnaissance, die Validierung bekannter Sicherheitsprobleme und Arbeiten, die nach dem Erhalt autorisierten Zugriffs durchgeführt werden. Nutzer können es über eine Kommandozeile oder eine Weboberfläche bedienen, zusätzliche Module aus dem Marketplace installieren und einen Workflow für eine konkrete Bewertung zusammenstellen.
KittyProxy fängt HTTP- und HTTPS-Traffic ab, unterstützt die Inspektion und Wiederholung von Requests und hilft bei der Identifizierung von REST-, GraphQL- und WebSocket-Schnittstellen. Der Anbieter bewirbt in der kommerziellen Edition eine KI-gestützte Request-Analyse. KittyCollab stellt gemeinsame Arbeitsbereiche bereit, während der OSINT-Graph Teams dabei unterstützt, entdeckte Entitäten und Reconnaissance-Ergebnisse miteinander zu verknüpfen.
Ein lokaler KI-Agent über Ollama
KittySploit enthält außerdem einen KI-Agenten, der über Ollama mit lokalen Modellen arbeiten und bei der Forschungsplanung unterstützen kann. KI ist jedoch nur eine Komponente der Plattform. Der Agent kann nicht garantieren, dass eine Schlussfolgerung korrekt ist, und er macht aus einem komplexen Penetrationstest keine vollständig autonome Aufgabe. Der AIDive-Leitfaden zu KI-Agenten erklärt, wie sich solche Systeme von gewöhnlichen Chatbots unterscheiden, indem sie Handlungssequenzen planen und ausführen.
Community, Pro und der Preis der Zusammenarbeit
Mit Stand vom 13.07.2026 ist die Community-Edition kostenlos. Sie umfasst das selbst gehostete Framework, KittyProxy Community, Marketplace-Downloads und keine angegebene Begrenzung der Anzahl autorisierter Ziele.
Der Pro-Plan kostet €39.99 pro Monat und unterstützt bis zu zwei Nutzer. Er ergänzt KittyCollab, KittyProxy Pro, gehostete Funktionen und zusätzlichen Support. Enterprise-Bereitstellung und Preise sind nach Vereinbarung verfügbar.
Self-Hosting erfordert Python, Systemabhängigkeiten sowie praktische Netzwerk- und Sicherheitskenntnisse. Einige payloadbezogene Werkzeuge nutzen Zig, wodurch Einrichtung und Wartung technischer werden als die Anmeldung bei einem herkömmlichen SaaS-Produkt.
Die Autorisierung zieht die Grenze
KittySploit ist ein Dual-Use-Produkt. Dieselben Fähigkeiten können eine legitime Sicherheitsprüfung oder einen unautorisierten Angriff unterstützen. Es sollte nur gegen Systeme eingesetzt werden, die dem Betreiber gehören, oder gegen Ziele, für die eine ausdrückliche Testerlaubnis erteilt wurde. Anbieterangaben zum Umgehen von WAF, EDR und anderen Schutzmaßnahmen sollten nicht als unabhängige Testergebnisse dargestellt werden.
Beta-Status, Lizenz und Einstiegshürde
Das Projekt ist als Beta gekennzeichnet, und Versionsnummern, die in verschiedenen Metadatenquellen erscheinen, stimmen nicht immer überein. Auch die Lizenzierung sollte geklärt werden: README und LICENSE beschreiben das offene Framework als MIT-lizenziert, während die aktuelle pyproject.toml Proprietary angibt. Organisationen sollten vor der Einführung bestätigen, welche Bedingungen für die einzelnen Komponenten gelten.
KittySploit ist vor allem für erfahrene Sicherheitsteams relevant, die eine erweiterbare Umgebung für autorisierte Bewertungen suchen. Einsteiger ohne kontrolliertes Labor, Zugriffsregeln und fachkundige Aufsicht sollten stattdessen mit speziell dafür entwickelten Trainingsplattformen beginnen, anstatt das Framework auf öffentlichen Systemen zu testen.
