2026-10-14 15:35:38 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

50个渗透子代理住进Claude Code：2300星开源武器库源码拆解（pentest-ai-agents）

原创

赤霄攻防实验室
赤霄攻防实验室

赤霄攻防实验室

2026年10月12日 19:05
河北

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

▲ 封面｜武器库评测（制图：赤霄攻防实验室）

TL;DR

是什么：pentest-ai-agents——50 个渗透测试子代理的 Claude Code 原生扩展，MIT 开源，7 个月 2300+ 星

能干嘛：侦察、漏洞扫描、Web/API、云、内网横向、LLM 红队全覆盖，编排 80+ 常用安全工具

怎么管住：Tier 分层（咨询/执行双模式）+ 范围护栏：未声明授权范围不放行任何命令

看点：本号源码级拆解其护栏设计——这可能是目前护栏最认真的 Claude Code 攻防扩展

▲ 工具档案卡（制图：赤霄攻防实验室）

它是什么：把 AI 编码器变成渗透团队

如果你用过 Claude Code，一定知道它的「子代理」机制：在项目里放几个带职责描述的定义文件，主助手就能把对应任务派发给专门的分身。pentest-ai-agents 做的事情非常直接——一口气写了 50 个攻防向的子代理定义，从侦察收集、漏洞扫描、Web 与 API 测试，到云安全、内网横向、逆向分析、CTF 解题，甚至还有一个专攻 LLM 应用的红队代理。

项目今年 3 月底才开源，7 个月拿下 2300+ 星，最新一次提交在 10 月初，open issues 只有个位数——迭代速度和维护质量都在线。安装就是一条脚本的事：装入用户级或项目级目录即可被识别，还提供一键安装 80 余个底层工具的选项，nmap、subfinder、nuclei、sqlmap 这类耳熟能详的名字全部在列。

▲ 仓库主页：50 subagents / 80+ tools tracked（来源：GitHub）

机制拆解：Tier 分层与范围护栏

它最值得学的设计是 Tier 分层。全部 50 个代理默认工作在 Tier 1 咨询模式：你粘贴工具输出、提问方法论，它给分析和建议，但自己不动手。只有部分代理解锁 Tier 2 执行模式——可以编排并直接运行命令，但前提是你在会话里先声明授权范围（IP 段、域名、测试类型），代理会逐条校验目标是否越界，每条命令还要经人工审批才执行。

护栏部分是独立的一段共享提示块，被所有执行型代理强制内嵌：会话初始化必须先声明范围；每条命令执行前过一遍检查清单——目标是否越界、是否破坏性操作、是否写目标系统、反向连接是否指向授权设施、是否试图绕过宿主的权限提示——任何一条不过就拒绝执行。更难得的是还有一张「硬拒绝清单」：无论你声称什么授权，对公网产品的越狱、危害性内容生成等一律不做。

▲ agents 目录：50 个子代理定义一览（来源：GitHub）

▲ 单个代理定义：职责描述、工具白名单、行为边界（来源：GitHub）

覆盖面与数据沉淀

50 个代理按真实攻击面分类：侦察与 OSINT、漏洞扫描、Web/API、云、容器逃逸、活动目录、CI/CD、IoT、移动端、取证分析、合规映射……每个代理的描述里写清了它驱动哪些底层工具、什么该做、什么明确不做。以 LLM 红队代理为例，职责范围覆盖提示注入、越狱链、RAG 投毒、代理滥用、MCP 服务滥用、拒绝钱包攻击等，同时明确把学术对抗样本研究划出边界。

工程细节也有想法：一个轻量的发现数据库负责把测试发现落库、去重、支持交接；执行类工具可以进 Docker 容器隔离运行；支持接入本地模型降成本；还有专门的令牌优化文档教你在长会话里省着点用。整体看，这不是 50 段提示词的拼盘，而是一套带流程、护栏和资产管理的工作系统。

▲ 五步工作流（制图：赤霄攻防实验室，据源码阅读整理）

同类对比：Claude Code 攻防化四条路线

本号此前评测过三个同赛道项目：BugHunter 走技能包路线、偏挖洞闭环；CyberStrike 用 13 个智能体按 Web 安全测试方法论编排、带 137 工具生态；T3MP3ST 则是单兵 0day 猎手。pentest-ai-agents 的差异点在「全」与「稳」：生命周期覆盖最宽、Tier 分层让咨询与执行分离、范围护栏的工程完成度目前最高，外加发现数据库把测试产出变成了可管理的资产。