KittySploit est une plateforme modulaire de tests de sécurité qui combine un framework Python, une interface web, un proxy d’analyse du trafic et des fonctions assistées par IA. Elle est conçue pour les équipes red team professionnelles, les testeurs d’intrusion autorisés, les chercheurs en sécurité et les équipes DevSecOps. Ce n’est ni un assistant IA généraliste ni un système automatique de défense d’entreprise : KittySploit peut aider à organiser une évaluation technique, mais ne remplace pas l’expertise, la vérification des résultats ni l’autorisation du propriétaire du système.
Le projet est maintenu par la KittySploit Team et SIA-IOTechnology. Le code principal est disponible dans le dépôt GitHub officiel, tandis que les fonctions hébergées et les offres commerciales sont décrites sur le site web de KittySploit.
Le framework et KittyProxy dans une même interface
Le produit repose sur un framework extensible avec des modules pour la reconnaissance, la validation de problèmes de sécurité connus et les travaux effectués après l’obtention d’un accès autorisé. Les utilisateurs peuvent l’exploiter via une ligne de commande ou une interface web, installer des modules supplémentaires depuis sa marketplace et assembler un flux de travail pour une évaluation précise.
KittyProxy intercepte le trafic HTTP et HTTPS, prend en charge l’inspection et la relecture des requêtes, et aide à identifier les interfaces REST, GraphQL et WebSocket. L’éditeur met en avant l’analyse de requêtes assistée par IA dans l’édition commerciale. KittyCollab fournit des espaces de travail partagés, tandis que le graphe OSINT aide les équipes à relier les entités découvertes et les résultats de reconnaissance.
Un agent IA local via Ollama
KittySploit inclut également un agent IA capable de travailler avec des modèles locaux via Ollama et d’aider à la planification de la recherche. L’IA n’est toutefois qu’un composant de la plateforme. L’agent ne peut pas garantir qu’une conclusion est correcte, et il ne transforme pas un test d’intrusion complexe en tâche entièrement autonome. Le guide d’AIDive sur les agents IA explique en quoi ces systèmes diffèrent des chatbots ordinaires en planifiant et en exécutant des séquences d’actions.
Community, Pro et le prix de la collaboration
Au 13.07.2026, l’édition Community est gratuite. Elle comprend le framework auto-hébergé, KittyProxy Community, les téléchargements depuis la marketplace et aucune limite déclarée sur le nombre de cibles autorisées.
L’offre Pro coûte €39.99 par mois et prend en charge jusqu’à deux utilisateurs. Elle ajoute KittyCollab, KittyProxy Pro, des fonctions hébergées et un support supplémentaire. Le déploiement Enterprise et les tarifs sont disponibles sur accord.
L’auto-hébergement exige Python, des dépendances système ainsi que des connaissances pratiques en réseau et en sécurité. Certains outils liés aux payloads utilisent Zig, ce qui rend l’installation et la maintenance plus techniques que l’inscription à un produit SaaS classique.
L’autorisation trace la limite
KittySploit est un produit à double usage. Les mêmes capacités peuvent soutenir un audit de sécurité légitime ou une attaque non autorisée. Il ne doit être utilisé que contre des systèmes appartenant à l’opérateur ou des cibles pour lesquelles une autorisation explicite de test a été accordée. Les affirmations de l’éditeur concernant le contournement de WAF, d’EDR et d’autres défenses ne doivent pas être présentées comme des résultats de tests indépendants.
Statut bêta, licence et niveau requis
Le projet est marqué comme bêta, et les numéros de version affichés dans différentes sources de métadonnées ne concordent pas toujours. Sa licence mérite également clarification : le README et la LICENSE décrivent le framework ouvert comme étant sous licence MIT, tandis que le pyproject.toml actuel indique Proprietary. Les organisations devraient confirmer les conditions applicables à chaque composant avant adoption.
KittySploit est surtout pertinent pour des équipes de sécurité expérimentées à la recherche d’un environnement extensible pour des évaluations autorisées. Les débutants sans laboratoire contrôlé, règles d’accès et supervision experte devraient commencer par des plateformes de formation dédiées plutôt que de tester le framework sur des systèmes publics.
