75321★8515★《usestrix/strix：开源AI自主渗透测试工具，发现并修复应用漏洞》
Strix 是一款开源的 AI 渗透测试工具，其定位是「自主 AI 渗透测试智能体」，能够像真实的黑客一样工作：动态运行你的代码、发现漏洞，并通过实际的概念验证（PoC）来验证这些漏洞。它面向开发者和安全团队，旨在提供快速、准确的安全测试，摆脱手动渗透测试的高昂开销，也避免静态分析工具常见的误报问题。
Strix 内置完整的渗透测试工具链，开箱即用地覆盖侦察、漏洞利用与验证环节。它采用多智能体协作架构，一组 AI 渗透测试智能体可以协同工作并横向扩展，输出的是可复现的 PoC，而非传统漏洞扫描器那样的误报。同时它提供面向开发者的命令行工具，给出可直接行动的发现结果和修复指引，并能自动生成补丁与符合合规要求的渗透测试报告。
Strix 还与 GitHub Actions 及 CI/CD 流水线无缝集成，可以在每个 Pull Request 上自动扫描漏洞，阻止不安全的代码进入生产环境，无需额外配置即可上手。
主要特点
- 完整的渗透测试工具箱——侦察、漏洞利用与验证开箱即用
- 多智能体编排——多个 AI 渗透测试智能体协作并可扩展
- 真实漏洞利用验证——提供可工作的 PoC，而非传统扫描器的误报
- 面向开发者的命令行——给出可操作的发现结果和修复指引
- 自动修复与报告——生成补丁和符合合规要求的渗透测试报告
- 与 CI/CD 集成——在代码进入生产环境前拦截漏洞
快速开始
前置条件：正在运行的 Docker，以及任一受支持的大模型服务商（OpenAI、Anthropic、Google 等）的 API Key。
# Install Strix
curl -sSL https://strix.ai/install | bash
# Configure your AI provider
export STRIX_LLM="vercel_ai_gateway/zai/glm-5.3" # Vercel AI Gateway
# export STRIX_LLM="openrouter/z-ai/glm-5.3" # OpenRouter
export LLM_API_KEY="your-api-key"
# Run your first security assessment
strix --target ./app-directory
# Updating
strix --update
curl -sSL https://strix.ai/install | bash首次运行会自动拉取沙箱 Docker 镜像，结果保存在 strix_runs/<run-name> 目录下。通过 pipx、uv 或 pip 安装时，strix --update 会打印对应的升级命令。
三种使用方式
- 开源版——免费，使用自带的 Docker 与自己的 LLM API Key 在本地运行
- Strix Cloud——免配置，提供经过验证的漏洞发现、一键自动修复和 PR 审查，集成 GitHub、GitLab、Bitbucket、Slack、Jira、Linear 及 CI/CD 流水线
- 企业版——支持 SSO（SAML/OIDC）、符合 SOC 2、ISO 27001、PCI DSS 合规要求的渗透测试报告、专属支持与 SLA、VPC 或自托管部署，以及 BYOK 模型支持
智能体工具能力
- HTTP 拦截代理——基于 Caido 的完整请求/响应篡改与分析
- 浏览器漏洞利用——自动化浏览器，用于测试 XSS、CSRF、点击劫持与认证绕过流程
- Shell 与命令执行——用于漏洞利用开发和后渗透的交互式终端
- 自定义漏洞利用运行时——用于编写和验证 PoC 的 Python 沙箱
- 侦察与 OSINT——自动化攻击面测绘、子域名枚举与指纹识别
- 静态与动态代码分析——SAST + DAST 能力，覆盖 OWASP Top 10 及更多漏洞类型
与编码智能体集成
Strix 支持被 Claude Code、Cursor、Codex 或任何兼容 SKILL.md 的编码智能体调用，使其具备执行渗透测试、修复发现结果和配置 CI 扫描的能力：
npx skills add usestrix/strix该命令会安装九个技能，支持对代码、Web 应用、API 及 OWASP Top 10 执行渗透测试、修复发现结果和 CI 扫描。智能体既可以使用本地命令行，也可以使用托管的云端服务，两者基于同一引擎。
📊 本项目 GitHub 星标数：75321。最后更新：2026-11-13，发布：2026-11-10。项目地址：https://github.com/usestrix/strix
