HexStrike AI : Transforme ton Claude Code en hacker éthique avec 150 outils

HexStrike AI est un MCP qui branche Claude Code à plus de 150 outils de pentesting. Entre autre, 12 agents IA spécialisés qui décident eux-mêmes quels outils utiliser sur ta cible dans l'unique but de combler les failles de sécurités de ton projet.

Auditer la sécurité d'un projet demande de maîtriser des dizaines d'outils différents. HexStrike AI branche Claude Code sur plus de 150 outils de pentesting et les orchestre tout seul : tu donnes une cible qui t'appartient, il choisit les outils, l'ordre, et te sort un rapport priorisé. Voici ce que c'est, quand l'utiliser et comment l'installer.

En bref
  • Un serveur MCP open source (licence MIT) qui donne à Claude Code plus de 150 outils de sécurité : Nmap, Burp, SQLMap, Nuclei, Hashcat, et bien d'autres.
  • Des agents IA spécialisés choisissent les outils, s'auto-corrigent et gèrent les limites de débit. Le code est ouvert : tu vois ce qui s'exécute.
  • Le serveur tourne en local sur ta machine (port 8888), puis se branche à Claude Code comme serveur MCP.
  • Uniquement sur TES assets, ou avec une autorisation écrite. Cette condition n'est pas négociable.
Avertissement légal, non négociable. HexStrike AI est destiné aux pentesteurs autorisés, à la recherche en sécurité et aux propriétaires d'assets. Lance-le uniquement sur ce que tu possèdes ou ce sur quoi tu as une autorisation écrite. Scanner un asset qui ne t'appartient pas, sans accord, est illégal. Un rapport automatique ne remplace pas un audit humain sur un système critique.

Ce que c'est

HexStrike AI est un serveur MCP (Model Context Protocol) qui transforme Claude Code en consultant cybersécu autonome. Tu lui donnes une cible qui t'appartient, il décide seul quel outil utiliser, dans quel ordre, et te rend un rapport. Des agents IA spécialisés orchestrent l'ensemble : ils choisissent les outils, s'auto-corrigent et gèrent les limites de débit.

Les familles d'outils

  • Réseau : Nmap, Masscan, Rustscan pour cartographier ports et services.
  • Web : Burp Suite, OWASP ZAP, SQLMap, Nuclei et ses milliers de templates.
  • Mots de passe : Hashcat, John, Hydra.
  • Reverse et cloud : Ghidra, Radare2 pour le reverse ; Trivy, Prowler, Kube-Hunter pour le cloud.
Le dépôt évolue vite. La vidéo parle de 150 outils et d'une douzaine d'agents ; les versions récentes en annoncent davantage. Vérifie toujours le README au moment de l'installer.

Quand l'utiliser

L'intérêt : auditer la sécurité de tes propres projets sans y passer des mois ni payer une agence. Les bons cas d'usage :

  • Auditer la sécurité de TES projets (site, app SaaS) avant une mise en production.
  • Défricher rapidement une surface d'attaque : ports, en-têtes, technologies, vulnérabilités connues.
  • Monter un lab d'apprentissage (CTF, bug bounty sur des programmes autorisés) sans assembler cent outils à la main.
  • Garder la main : le code est ouvert, tu vois chaque commande avant qu'elle parte.

Installation : les étapes principales

Il te faut Claude Code et Python 3 installés. Le serveur tourne en local, sur le port 8888. Récupère le dépôt, crée un environnement Python isolé, installe les dépendances, puis lance le serveur :

# 1. Récupérer le dépôt
git clone https://github.com/0x4m4/hexstrike-ai.git
cd hexstrike-ai

# 2. Créer un environnement Python isolé
python3 -m venv hexstrike-env
source hexstrike-env/bin/activate
# Sur Windows : .\hexstrike-env\Scripts\activate

# 3. Installer les dépendances Python
pip3 install -r requirements.txt

# 4. Lancer le serveur HexStrike (le laisser tourner)
python3 hexstrike_server.py --port 8888

# 5. Vérifier qu'il répond (dans un autre terminal)
curl http://localhost:8888/health

Une fois le serveur lancé, branche-le à Claude Code comme serveur MCP (remplace le chemin par celui de ton dépôt) :

claude mcp add --transport stdio hexstrike-ai -- \
  python3 /chemin/vers/hexstrike-ai/hexstrike_mcp.py --server http://localhost:8888

# Vérifier que le serveur MCP est bien branché
claude mcp list
À savoir. Les outils système (Nmap, Nuclei, etc.) s'installent séparément, selon ton OS. Le serveur te dira lesquels manquent. Ta cible d'audit doit toujours être un asset que tu possèdes.

Deux raccourcis, dans le fichier

Plutôt que de tout taper à la main, le fichier à télécharger contient deux prompts prêts à coller dans Claude Code :

  • Le prompt d'installation complet : il fait d'abord auditer le dépôt en lecture seule (étoiles, dernier commit, licence, ce que l'install va faire), attend ton feu vert, puis installe et se branche. Rien n'est modifié sur ton système avant que tu valides, et aucun scan ne part sans ta confirmation.
  • Un exemple d'audit en langage naturel, sur un site qui t'appartient : détection des technologies, scan des ports, Nuclei, en-têtes et TLS, puis un rapport priorisé par sévérité avec une recommandation par point.
Si tu ne fais qu'une seule chose : installe le serveur, branche le MCP, et teste un premier audit sur un site qui t'appartient. Tu verras la surface d'attaque de ton propre projet en quelques minutes.
Le réflexe à garder. Avant chaque lancement, exige que Claude te confirme la cible. Ne le laisse jamais scanner un asset que tu ne possèdes pas. En cas de doute sur un système critique, double l'audit automatique d'un regard humain.

Le fichier complet, propre et prêt à copier, t'attend juste en dessous.

← Toutes les ressources IA · Nos formations IA