HexStrike AI Nedir? Kali MCP ile Yapay Zekâya Pentest Aracı

HexStrike AI nedir sorusunun kısa cevabı şu: Claude gibi bir yapay zekâ asistanının nmap, nuclei ve benzeri güvenlik araçlarını senin yerine çalıştırmasını sağlayan açık kaynaklı bir MCP sunucusu. Sen ne istediğini yazarsın, model aracı ve parametreyi seçer, komutu senin makinendeki sunucu çalıştırır. Bu yazıda HexStrike'ı Kali'nin kendi MCP paketiyle, Ghidra ve Burp MCP ile karşılaştırıyor, riskleri ve güvenli lab kurgusunu adım adım veriyoruz.

HexStrike AI nedir ve nasıl çalışır?

HexStrike AI iki parçadan oluşur: araçları çalıştıran bir API sunucusu ve yapay zekâ istemcisini bu sunucuya bağlayan bir MCP köprüsü. Proje 2025 yazında GitHub'da açık kaynak olarak yayımlandı ve MIT lisanslıdır. Kali Linux, 12 Aralık 2025'te çıkan 2025.4 sürümünün yeni araçları arasında HexStrike'ı duyurdu.

Parçalar şöyle:

• hexstrike_server: Araçları çalıştıran API sunucusu. Varsayılan portu 8888.
• hexstrike_mcp: Claude Desktop, Cursor ya da VS Code Copilot gibi istemcinin başlattığı köprü. İstemciden gelen araç çağrısını API sunucusuna iletir.
• Araçlar: nmap, gobuster, nuclei, sqlmap gibi programlar. HexStrike bunları kendisi kurmaz, sistemde ayrıca kurulu olmaları gerekir.

Bir istek şu sırayla ilerler. Sen "lab ağımdaki 10.10.10.5 makinesinde açık servisleri bul" yazarsın. Model, listelenen araçlardan birini seçip çağrı ister. İstemci çağrıyı onayına sunar. Köprü isteği API sunucusuna iletir, sunucu komutu çalıştırır ve çıktıyı döndürür. Çıktı modelin bağlamına girer, model bir sonraki adımı buna göre seçer.

Proje sayfası Ekim 2026 itibarıyla 6.0 sürümünü anlatıyor ve 150'den fazla araç bağladığını yazıyor. Sayfadaki başarı oranları projenin kendi beyanıdır, ölçüm yöntemi yayımlanmamıştır. MCP'nin host, istemci ve sunucu rollerini bilmiyorsan önce MCP nedir yazısına bak.

Kali Linux MCP server nedir, HexStrike'tan farkı ne?

Kali Linux MCP server, Kali'nin resmî deposundaki mcp-kali-server paketidir ve HexStrike'tan çok daha yalın bir köprüdür. Kali bu paketi 23 Eylül 2025'te çıkan 2025.3 sürümünün yeni araçları arasında duyurdu. Paket iki komut getirir: API sunucusunu başlatan kali-server-mcp ve istemci tarafındaki köprü mcp-server.

API sunucusu varsayılan olarak yalnız 127.0.0.1:5000 adresinde dinler. Makinenin dışından ona doğrudan ulaşılamaz. Proje nmap, gobuster, nikto, sqlmap ve hydra gibi araçlar için hazır uçlar ve ham komut çalıştırma sunar. Sunucuyu tüm ağa açmayı "çok tehlikeli" diye niteler ve uzaktan erişim için SSH önerir.

Kali Linux MCP server Claude ile nasıl bağlanır?

Kali'nin Şubat 2026 tarihli resmî blog yazısı bu kurguyu gösterir: Claude Desktop macOS'ta, araçlar ayrı bir Kali makinesinde çalışır. Bağlantı ağa açılmış bir API ile değil, SSH ile kurulur.

Akış şöyle işler:

1. Kali'de kali-server-mcp yalnız 127.0.0.1:5000 adresinde dinler.
2. Claude Desktop, MCP sunucusu olarak bir SSH komutu başlatır. Bu komut anahtarla Kali'ye bağlanır ve orada mcp-server köprüsünü çalıştırır.
3. Köprü, stdio üzerinden Claude Desktop ile konuşur ve istekleri yerel API'ye iletir.
4. Claude Desktop, araç çalıştırmadan önce senden izin ister. Kali'nin örneğinde model, scanme.nmap.org için nmap -sV çalıştırır.

Bu tasarımın güçlü yanı, API'nin ağa hiç açılmamasıdır. Dışarıdan görünen tek kapı anahtarla korunan SSH'tır. Bedeli de açık: istem, komut ve tarama çıktısı buluttaki modele gider. Kali'nin yazısı bunu tek cümleyle geçer ve bu senaryonun bazıları için, örneğin gizlilik nedeniyle, kabul edilemez olabileceğini söyler.

Çözüm yerel modeldir. Kali'nin Mart 2026 tarihli ikinci yazısı aynı kurguyu Ollama ve 5ire ile tamamen kendi donanımında kurar. Yazıda 6 GB belleğe sahip bir NVIDIA GTX 1060 kullanılır ve deneme için llama3.1:8b, llama3.2:3b ve qwen3:4b gibi küçük modeller seçilir. Yerel küçük model genelde daha zayıf plan yapar, ama veri makineden çıkmaz.

Ghidra MCP ve Burp Suite MCP ne işe yarar?

Ghidra MCP ve Burp MCP, tek bir uzman aracı yapay zekâya açar: biri tersine mühendisliği, diğeri web trafiğini. HexStrike ve Kali MCP gibi terminal açmazlar, bu yüzden riskleri farklıdır.

GhidraMCP, LaurieWired'ın Apache-2.0 lisanslı projesidir. Ghidra'ya eklenti olarak kurulur. Modelin ikili dosyayı decompile etmesine, fonksiyon ve verileri yeniden adlandırmasına, sınıfları, içe ve dışa aktarımları listelemesine izin verir. 10 Ekim 2026'da çıkan 2.0 sürümü Ghidra 12.1.4'e geçti ve arayüzsüz (headless) çalışmayı ekledi. Ghidra'yı hiç açmadıysan Ghidra nedir yazısıyla başla.

Burp Suite MCP Server, PortSwigger çalışanlarının geliştirdiği ve BApp Store'da yayımlanan bir eklentidir. Mayıs 2026'da güncellenen 1.3.0 sürümü hem Community hem Professional sürümde çalışır, Collaborator araçları yalnız Professional'dadır. Model HTTP isteği gönderebilir, proxy geçmişini okuyabilir, Repeater sekmesi açabilir ve Intruder'a istek yollayabilir. Eklenti varsayılan olarak 127.0.0.1:9876 adresinde dinler. Hangi hedefe istek atılacağını ve geçmişe erişimi onaylatan bir hedef onay sistemi vardır. Burp'ün temelini Burp Suite başlangıç rehberinde anlattık.

Hangi güvenlik MCP sunucusu neyi açar?

Aşağıdaki tablo beş aracı Ekim 2026 itibarıyla aynı ölçüyle karşılaştırır. Dinleme sütunu varsayılanı gösterir. Ayarı değiştirirsen risk de değişir.

Son satıra dikkat et: llm-tools-nmap bir MCP sunucusu değildir. Simon Willison'ın llm komut satırı aracına fonksiyon çağrısıyla nmap yeteneği ekleyen bir eklentidir. Kali onu 2025.3 sürüm notunda mcp-kali-server ile birlikte duyurdu.

HexStrike AI kötüye kullanıldı mı?

Kullanıldığına dair forum paylaşımları var, ama aracın gerçek saldırılardaki rolü doğrulanmadı. Check Point 2 Eylül 2025'te yayımladığı analizde, yeraltı forumlarında HexStrike AI'ın Citrix NetScaler açıklarına karşı kullanımının tartışıldığını yazdı. Bu açıklar arasında 26 Ağustos 2025'te duyurulan ve kimlik doğrulamasız uzaktan kod çalıştırmaya izin veren CVE-2025-7775 de vardı.

Bu bir forum gözlemidir. Paylaşımlardaki "istismar süresi günlerden 10 dakikanın altına indi" iddiası forum kullanıcılarına aittir. Rakam Check Point'in kendi ölçümü değildir. BleepingComputer da aynı günlerde HexStrike'ın bu saldırılardaki rolünün doğrulanmadığını not etti.

Savunma için çıkan ders araçtan bağımsızdır: açığın duyurulması ile toplu istismar arasındaki süre kısalıyor. Check Point'in önerileri de buna göre: yamayı haftalara yayma, etkilenen sistemlere erişimi kısıtla, sistemlerde web kabuğu izi ara.

Yapay zekâya pentest aracı vermenin riskleri neler?

En büyük risk, modelin okuduğu her şeyin onu yönlendirebilmesidir. Pentest ajanı test ettiği hedefin cevaplarını okur. Yani hedef de ajana metin yazar. Bu durum dört somut risk doğurur:

1. Hedef ajanı yönlendirir. Mayoral-Vilches ve Rynning'in Ağustos 2025 tarihli çalışması, kötü niyetli bir web sunucusunun hazırladığı cevabın bir güvenlik ajanının akışını ele geçirebildiğini gösterdi. Yazarlar bunu web'deki XSS'e benzetir. Bu, prompt injection saldırısının pentest ajanındaki hâlidir. Ajanın elinde terminal olduğu için sonuç bir sohbet cevabı değil, senin makinende çalışan bir komut olabilir.
2. Sunucu ağa açık kalır. HexStrike'ın GitHub'daki kodunda API sunucusu, açılış ekranı 127.0.0.1 yazsa da tüm ağ arayüzlerinde başlıyor. Sunucuda gelen komutu çalıştıran genel bir uç var ve kimlik doğrulama yok. Aralık 2025'te açılan GitHub kaydı bunu uzaktan komut çalıştırma riski olarak raporladı. Kayıt Ekim 2026 itibarıyla hâlâ açık. Kali ise Ocak 2026'da paketine bir yama ekleyip sunucuyu 127.0.0.1'e bağladı. Aynı aracı GitHub'dan klonlamakla Kali deposundan kurmak bu yüzden farklı sonuç verir.
3. Model kapsamın dışına çıkar. Model bir IP adresini yanlış okuyabilir, alt ağı genişletebilir ya da listede olmayan bir adrese yönelebilir. Kapsamı yalnız isteme yazmak yetmez.
4. Veri sağlayıcıya gider. Bulut modelde istem, komut ve araç çıktısı model sağlayıcısının sunucularına ulaşır. Pentest çıktısı müşterinin verisidir. Bulut model kullanmadan önce bunu sözleşmede ve müşterinin KVKK yükümlülükleri açısından konuş.

Bir de onay yorgunluğu var. "Her zaman izin ver" kutusu, istemcinin elindeki son freni kaldırır.

Güvenli bir yapay zekâ pentest labı nasıl kurulur?

Güvenli lab, modelin hata yapacağını ve hedefin ona yanlış yönlendirme yazacağını varsayarak kurulur. Şu altı adım tehdit modelinin özetidir:

1. Kapsam kilidi. Kapsamı istemde değil, ağ katmanında uygula. Araçların çalıştığı makine yalnız lab alt ağına çıkabilsin.
2. Kum havuzu. Araçları ayrı bir sanal makinede çalıştır. Orada gerçek parola, kişisel SSH anahtarı ya da bulut kimliği tutma. Başlamadan anlık görüntü (snapshot) al.
3. Yalnız yerel dinleme. API sunucusu 127.0.0.1'de dinlesin. Uzaktan erişim gerekiyorsa Kali'nin örneğindeki gibi SSH kullan. Gerçekte hangi adreste dinlediğini sudo ss -tlnp ile kontrol et.
4. İnsan onayı. Komut çalıştıran araçlarda otomatik onayı kapat. Her çağrının argümanını, özellikle hedef adresini oku.
5. Kayıt. Her araç çağrısını argümanı, saati ve çıktısıyla sakla. Rapor yazarken ve bir şey ters gittiğinde ilk bakacağın yer burasıdır.
6. Veri sınıfı. Müşteri verisi içeren işte yerel model kullan ya da sözleşmede açık izin al. Kendi eğitim labında bulut model kullanmak sorun yaratmaz.

Birinci adım için Kali sanal makinesinde bir ufw örneği. Ev sahibi makine 192.168.56.1, lab ağı 10.10.10.0/24 olsun. ufw kurulu değilse önce paketini kur:

sudo ufw default deny incoming
sudo ufw default deny outgoing
sudo ufw allow from 192.168.56.1 to any port 22 proto tcp
sudo ufw allow out to 10.10.10.0/24
sudo ufw enable

Bu kurguda Kali, lab ağı dışındaki bir adrese bağlantı açamaz. Bir şartı var: araç sunucusunu root olarak çalıştırma, çünkü root yetkili bir ham komut bu kuralları kapatabilir. Daha sağlam kilit, sanal makineyi sanallaştırma yazılımında yalnız lab ağına bağlı bir ağda tutmaktır. Model bulutta çalışıyorsa ona bağlanan Kali değil, ev sahibi makinedir. Bu yüzden Kali'nin dışarı çıkışını kapatmak sohbeti bozmaz. Kuralları sudo ufw status verbose ile kontrol et.

Yapay zekâya izinsiz hedef taratırsan sorumluluk kimde?

Sorumluluk sende. Komutu modelin yazması, onun senin adına ve senin makinenden çalıştığı gerçeğini değiştirmez. Araçların kendisi yasaldır. HexStrike'ın ve mcp-kali-server'ın proje sayfaları da kullanımı eğitim ve yetkili testle sınırlar, izinsiz erişimi açıkça yasaklar. İzinsiz bir bilişim sistemine girmenin Türkiye'deki hukuki sonuçlarını hacking yasal mı yazısında anlattık.

Pratikte üç kural yeter:

• Yazılı izin ve kapsam belgesi olmadan ajana hedef verme.
• Alıştırma için kendi sanal labını, CTF platformlarını ya da Nmap'in taranmasına izin verdiği scanme.nmap.org adresini kullan.
• Bug bounty programında çalışıyorsan programın otomatik tarama ve hız sınırı kurallarını önceden oku.

MCP güvenliğini nerede güvenle deneyebilirsin?

HexStrike'ı ya da Kali MCP'yi kurmadan önce bir MCP sunucusunu denetlemeyi öğrenmek, yukarıdaki riskleri ilk elden görmenin en kısa yoludur. AltaySec Akademi'nin ücretsiz AI Güvenliği yolunda MCP'ye ayrılmış bir modül var. Kötü niyetli MCP sunucusu dersi araç zehirlenmesini ve sonradan değişen araç tanımlarını gösterir. MCP sunucusunu denetlemek dersi, bir sunucuyu bağlamadan önce yapacağın kontrolleri sıralar. Ardından MCP Sunucu Denetimi labında bu kontrolleri kendin uygularsın.

Kaynaklar

• Kali Linux: Kali & LLM, macOS'ta Claude Desktop ile kurgu (Şubat 2026)
• Kali Linux: hexstrike-ai paket sayfası
• GitHub: HexStrike AI sunucusunun tüm arayüzlerde dinlemesi kaydı (#122)
• Check Point: Hexstrike-AI, When LLMs Meet Zero-Day Exploitation (2 Eylül 2025)
• arXiv: Cybersecurity AI, Hacking the AI Hackers via Prompt Injection (Ağustos 2025)