2026-10-15 11:16:16 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

实测VulnClaw：会自己翻证据的AI渗透Agent，两个turn挖齐全套敏感文件

原创

赤霄攻防实验室
赤霄攻防实验室

赤霄攻防实验室

2026年10月10日 11:21
河北

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

TL;DR

一句话：VulnClaw 是一个可以独立运行的开源 AI 渗透测试 Agent——你用人话下指令，它自己决定侦察、探测、翻证据、写报告，全流程不需要你拆步骤。

热度：2026 年 4 月开源，5 个月 3500+ Star，近一周仍在密集更新，MIT 协议，已上架 PyPI。

亮点：模型主导 solve 引擎 + 证据级反幻觉闸门（结论必须在真实工具输出里逐字符命中才放行），这个设计在同类工具里很少见。

实测：我们搭了本地靶场让它真跑——两个 turn 找齐全部敏感文件并写出带证据编号的报告；同时也踩到两个真实 Bug，正文细说。

它是什么

VulnClaw 的自我介绍很直接：「说人话，打漏洞」。它不做成 Web 平台、不做成 Burp 插件，而是一个装在终端里的 AI 渗透 Agent：你输入「对某某目标做渗透测试」，它就进入自主循环——指纹识别、端口扫描、目录枚举、注入点检测、PoC 验证、报告生成，一步步自己走完。项目由国内开发者维护，中英双语文档齐全，这在国内开源安全工具里算相当规整的。

VulnClaw 仓库主页：3500+ Star，MIT 协议，PyPI 可直接安装

形态上它一口气给了三种用法：经典 REPL 交互、Rust 写的 TUI 工作台（可拖拽布局、内置授权范围确认）、以及本地 Web UI。加上单命令模式（recon / scan / exploit / persistent 分阶段执行）和本地源码扫描，几乎覆盖了从 CTF 单题到长周期授权测试的全部场景。

工具档案

VulnClaw 档案卡：定位 / 引擎 / 反幻觉闸门 / 证据系统 / 工具链 / 模型生态

几个值得单独点名的数据：约 9.8 万行 Python 加 Rust TUI，50 个内置专项 Skill（覆盖 CTF、Web、内网、逆向、AI/MCP 安全测试），13 家 LLM 供应商预设——OpenAI、Claude、DeepSeek、智谱 GLM、Kimi、千问、豆包到本地 Ollama 一键切换。对国内用户来说，「不绑死某一家模型」是个实际优势：演示用便宜的 Flash 档模型，正式跑任务换推理强的，配置一行命令的事。

架构：把「自主权」交给模型，把「刹车」留给框架

大部分「AI 渗透工具」的架构是把渗透流程拆成固定阶段：先目录扫描、再 JS 收集、再注入测试，模型只是每个阶段里的填空机。VulnClaw 的 solve 引擎反其道而行——框架不做阶段规划，只给模型四样东西：目标、历史上下文、证据记忆、工具清单，下一步做什么完全由模型自己判断。这更像 Claude Code 这类编码 Agent 的思路：与其教模型走流程，不如给它一套好用的工具和一个诚实的记忆系统。

README 架构段：模型主导循环 + AgentState 证据 + 轻量纠偏层的分层设计

证据记忆：上下文的「冷热分离」

工具的原始输出（完整 HTML body、nmap 全量结果、命令 stdout）全部写入 AgentState 证据库，带哈希和证据编号；但进入模型上下文的只是高信号预览——表单、参数、JS endpoint、危险 sink、flag 形态的 token。模型需要原文时用 evidence\_search / evidence\_view 按需回查。这解决的是长任务的老毛病：跑到第 30 轮，上下文被前几轮的巨型 HTML 挤爆，模型开始「失忆」重复劳动。

反幻觉闸门：AI 说拿到 flag？先对原文

最有意思的设计是这个：solve 结束时，模型声称的 flag 或结论必须在真实工具输出里逐字符出现，或者显式引用证据编号，否则直接拒绝并打回去继续做。针对的就是 AI 渗透演示里最常见的翻车——模型一本正经地宣布「成功获取 flag」，实际是编的。另外还有个「近成功防误停」闸门：只要证据里还有没验证完的高信号线索（源码 sink、表单、响应差异），模型想提前放弃都不行。

实测：两个 turn 找齐全部敏感文件

光看 README 不过瘾，我们搭了个本地靶场实测：SimpleHTTP 起一个站点，埋了三处典型泄露——.git 目录里遗留的 config.bak（含数据库口令）、admin 目录下的内部笔记、version.txt 版本信息。模型端用的是 GLM-5.3-Flash（便宜档），引擎 solve 模式，审批模式开 full\_access。

实测决策路径解剖：并行开局 → 证据落盘 → 主动翻证据 → 二次探测 → 证据闸门收口

Turn 1：并行开局，证据先行

它没有傻乎乎地一个路径一个路径试，第一步就并行打了两手：fetch 拿首页指纹，http\_probe\_batch 一次打包探测 /.git/HEAD、/.git/config、/.git/、/admin/、/version.txt、robots.txt 等候选路径。每个响应都写入证据库（e001 到 e003），大响应体只留预览。发现目录列举内容被截断后，它自己调 evidence\_view 翻出原始列表，确认 .git 下只剩一个 config.bak——并顺带推理出「真实 git 元数据已被清理，但备份文件被遗留」，这个判断完全正确。

Turn 2：精确收口，主动写 FINAL

第二轮它精确抓取 /.git/config.bak 和 /admin/notes.txt 的内容，拿到 DB\_PASSWORD 明文和备份密钥原文，然后主动判定「目标已达成」，写出 FINAL：三张表格逐条挂证据编号——路径、状态码、内容关键行，连「已排除路径」（404 的那些）都列清楚了。全程没有一轮浪费，也没有任何编造。作为对照，很多同类工具在目录列举这种场景里会反复盲扫字典。

也踩到两个真实的 Bug

如实说踩坑：PyPI 版 v0.4.1 的 solve 子命令在非流式模式下有一个 UnboundLocalError（on\_event 变量未初始化），直接崩溃退出，加 --stream 参数可绕过；任务收尾时汇总 findings 的代码还有一处类型错误（verified\_claims 里混入了 int），导致最终报告文件没有落盘——但这两处都不影响核心求解循环本身，Agent 的探测和 FINAL 输出是完整真实的。一个 5 个月 3.5k Star 的年轻项目，主流程扎实、边缘毛刺不少，这个状态符合预期，也说明它更新很快（我们 clone 期间 master 又进了新提交）。

同类对比：它卡在哪个生态位

与主流 AI 安全工具的定位差异：自主攻击链 vs 测试生成修复 vs 规则扫描

把视野拉开：Strix、Shannon 这类高星 AI 安全工具本质是「AI 测试员」——生成测试用例、发现漏洞、给出修复建议，服务的是开发侧 SDLC；传统扫描器是规则引擎，可预期但不会自主推理。VulnClaw 卡的是中间那个生态位：面向授权红队和 CTF 的自主攻击链，重点是「拿证据、走通利用路径、产出复盘报告」。它不追求替代 Burp 的人工精细操作，而是把「一个初级渗透测试工程师的完整工作流」压缩成一条命令。

星数上它（3.5k）还不如 Strix（67k）和 Shannon（48k），但增长斜率不低——4 月创建，月均 600+ Star，且中文安全社区的讨论热度明显。对国内用户，中文文档 + 国产模型全家桶支持这两个点，是海外工具给不了的。

功能全景：不止 solve

README 特性段：持续性渗透、插件体系、50 个 Skill、29 种编解码操作

持久化周期渗透

persistent 模式默认按 100 轮一个周期跑、最多 10 个周期共 1000 轮，每个周期自动出报告，跨周期状态保持。这个设计对「深度渗透」场景有价值——复杂目标的攻击面不是一轮能穷尽的，周期化推进 + 增量发现的思路接近人工项目的节奏。

MCP 工具链接入

fetch 和 memory 两个 MCP 服务本地实现开箱即用；chrome-devtools MCP（31+ 工具）接入后能做浏览器自动化和 JS 执行；Burp MCP 接入后可以复用 Burp 的抓包与重放能力。加上内置的 nmap、批量 HTTP 探测、Python 执行、shell 命令验证、29 种编解码操作，工具面在同类里属于第一梯队。