ZONE.CI 全球网

pentestcode是一个常驻终端的自主渗透测试智能体，提供AI渗透测试功能。

AgenticPenTestv1.0正式开放，解决渗透测试中信息整理困难问题，提升协作效率。

AI渗透测试系统ARTEX被滥用于黑客攻击，导致韩国多家银行客户信息泄露。ARTEX服务器数量超过C2工具总和，攻击者利用多个国家的IP地址进行攻击，嫌疑人身份未知。

AgenticPenTestv1.0正式开放，提供渗透测试协作工作台，简化渗透测试后整理和交接流程。

AgenticPenTestv1.0正式开放，提供协作渗透测试工作台，旨在解决渗透测试结束后资产、扫描结果、分析过程等难以整理的问题。

WindowsUpdateStack存在本地权限提升漏洞，可能导致本地低权限攻击者将权限提升至SYSTEM，影响多个Windows版本，官方已发布修复版本。

奇安信CERT发布WindowsUpdateStack本地权限提升漏洞CVE-2026-81963通告，该漏洞源于更新栈处理文件路径时未正确解析重解析点，低权限攻击者可提权至SYSTEM，已发现在野利用且PoC公开。影响多个Windows11及Server2025版本，建议用户尽快通过Windows更新或手动安装补丁修复，奇安信天擎用户可一键更新。

本文介绍dsh-pentest工具，面向DeepSeekHarness的渗透测试模式，支持授权范围内记录目标、探索线索、验证结果、资产与漏洞，并以Web界面展示探索链路、漏洞和资产视图。文章含界面预览及获取方式，并推广付费知识星球，提供免杀、内网渗透等安全技术内容。

本文解析了CTF逆向挑战baby_Java和hardtest的解题过程。baby_Java通过反编译发现需将输入字符串反转后Base64编码比对，直接解码反转即可得flag。hardtest涉及复杂加密流程，包括字节移位、模幂运算和S盒替换，需逆向分析各函数后爆破求解。文档提供了完整的Python实现代码和逆向思路。

VibePentest是一款基于AIAgent架构的自动化渗透测试工具，具备标准授权测试、多账号并行测试功能，仅生成最终报告。项目地址为GitHub仓库，文档强调工具仅用于安全研究学习，使用者需承担法律责任。

PentestEval是一个针对大语言模型渗透测试能力的模块化评测基准，将渗透测试流程拆解为信息收集、弱点收集、弱点过滤、攻击决策、Exploit生成和修正六个阶段。研究发现当前LLM在弱点过滤和Exploit修正阶段表现较好，但在攻击决策和功能性Exploit生成方面存在明显短板，完全自动化Agent的端到端渗透测试成功率很低。该研究为LLM在安全领域的应用提供了细粒度评估框架，指出未来需要加强模型对攻击链的结构化理解能力。

本文详细介绍了PentestGPTv2（Excalibur）AI渗透测试框架的部署与实战应用。该工具通过渗透测试任务树（PTT）解决传统LLM的上下文丢失问题，采用LeadTester推理、JuniorTester生成、Parser解析的三级架构。文章提供了三种安装方式（pip/Docker/本地模型）、从信息收集到获取Shell的完整实战流程，并强调工具需在授权范围内使用，人工审核生成命令。

Pentest-AI是一款人工智能驱动的渗透测试工具，通过机器学习预言机自动验证漏洞发现，实现零误报。它支持侦察、登录、多步攻击链构建，并提供便携式证明胶囊供用户回放验证。该工具可在本地部署，无需云端依赖，并集成CI/CD流程，适用于授权安全测试场景。

Pentest-Lyan是一套AI渗透测试增强包，通过三阶段串行流程(Discovery、Attack、Audit)将AI对话扩展为完整测试。它强调功能建模而非漏洞清单，要求对每个功能从12个维度建模并验证业务影响。项目通过结构化状态文件实现断点续测和跨角色验证，要求证据充分才能确认漏洞。它是一套可审查的方法框架，适合内部靶场先验证。

本文介绍了名为AutoPentestAI的自动化渗透测试框架，声称集成智能分析、攻击链构建与报告生成等功能，支持SQL注入及XSS等多种漏洞检测。文章提供了基本的命令行使用示例，但实质为公众号引流推广，要求用户后台回复特定字符获取网盘下载链接，缺乏深层技术原理解析。

PentesterFlow是一款开源人在回路AI工具，解决安全AI幻觉与记忆弱点，自动化渗透测试全流程。它具备本地持续学习机制，通过强制审批与信息过滤保障安全，并集成BurpSuite。建议测试人员在授权目标上结合本地大模型使用，或在隔离环境中启用YOLO模式提升自动化效率。

该文档介绍了一款名为API-Pentest的API渗透测试工具，其核心思路是结合浏览器登录、Katana爬虫、JSSourceMap分析和AIAgent智能分析，实现API端点的自动提取、参数补全和隐藏端点发现。工具支持Agent模式（无需APIKey）、外部LLM模式和仅规则模式，并集成了未授权访问、越权及SQL注入测试，最终生成自动化报告。该工具为安全测试人员提供了一套系统化的API安全评估方案。

PentesterFlow是一款开源的人机协同AI命令行工具，专为渗透测试和漏洞赏金猎人设计。它自动化从信息收集到报告生成的工作流，通过内置技能模块和基于证据的漏洞确认机制解决AI幻觉问题。其核心特色是分析人员审批机制，确保敏感命令执行前获得授权，并具备本地持续学习能力。该工具支持多种LLM后端和BurpSuite集成，适合对全自主代理持谨慎态度的安全团队，但仅限授权测试使用。

PentestCode是一款基于OpenCode硬分叉的终端自主渗透测试智能体，无需自备APIKey即可运行，支持多智能体协作与持久化任务跟踪。实测中能自主完成活动目录后门发现与利用、DCSync攻击、黄金票据签发等操作，在漏洞赏金项目中也能实现远程代码执行。建议使用时明确边界、善用暂停模式保持人在环路。

本文拆解开源AI渗透测试工具pentest-ai，其核心设计是模型仅提出候选漏洞，必须通过机器判据重放验证才能获得verified结论，杜绝AI编造证据。工具提供差分、OAST等七类判据，支持范围控制、凭证隔离，并给出实测零误报数据。建议关注其验证机制与安全设计。