AI黑客来了？这个开源神器开始自动找漏洞，安全工程师要变“指挥官”了

原创

菜狗
菜狗

只会看监控的实习生

2026年8月3日 17:00
广东

在小说阅读器读本章

去阅读

AI 渗透测试时代来了？开源神器 Strix 让 AI Agent 自动发现并验证漏洞

随着 AI Agent 技术快速发展，安全领域正在发生新的变化。

过去一次完整的渗透测试，通常需要安全人员完成资产收集、漏洞挖掘、漏洞验证、风险分析以及报告输出等多个环节，周期可能从几天到数周不等。

而现在，一款名为 Strix 的开源项目正在尝试改变这种模式。

它希望让 AI 不只是辅助安全人员写报告，而是真正像一个安全研究员一样，主动分析目标、发现漏洞，并通过实际验证判断漏洞是否真实存在。

什么是 Strix？

Strix 是一个开源 AI 渗透测试工具，它通过多个 AI Agent 协同工作，实现自动化安全测试流程。

官方定位：

Open-source AI hackers to find and fix your app’s vulnerabilities.

简单理解：

Strix 就像一个由 AI 驱动的自动化渗透测试团队。

它可以：

• 分析目标应用
• 识别潜在攻击面
• 自动执行安全测试
• 验证漏洞真实性
• 生成漏洞报告
• 提供修复建议

相比传统扫描器只依靠规则匹配，Strix 更强调“理解”和“推理”。

它不是简单发现一个可疑参数，而是尝试模拟真实攻击流程，对漏洞进行进一步验证。

Strix 有哪些能力？

1. 自动化漏洞发现

Strix 支持多种常见安全问题检测，包括：

• SQL 注入
• XSS
• SSRF
• XXE
• 越权漏洞
• 身份认证问题
• JWT 安全问题
• 反序列化漏洞
• API 安全问题
• 配置错误等

它结合静态分析和动态测试能力，对应用进行更加全面的安全检查。

2. AI Agent 多角色协作

传统渗透测试通常由不同安全人员负责不同阶段：

• 信息收集
• 漏洞分析
• 利用验证
• 报告整理

而 Strix 将这些流程拆分成多个 Agent。

例如：

侦察 Agent：

负责收集目标信息、分析攻击面。

分析 Agent：

负责阅读代码、寻找漏洞逻辑。

验证 Agent：

负责判断漏洞是否真实可利用。

报告 Agent：

负责整理最终结果。

多个 Agent 可以共享发现的信息，提高整体测试效率。

3. 支持真实漏洞验证

很多安全工具最大的问题是：

发现很多漏洞，但无法判断真假。

例如：

扫描器发现：

“这里可能存在 SQL 注入。”

但是：

到底能不能利用？

影响范围是多少？

是否可以获取敏感数据？

仍然需要人工验证。

Strix 更关注漏洞验证，通过实际测试流程生成 Proof of Concept（PoC），降低误报。

4. 内置安全测试工具链

Strix Agent 内置了很多安全人员常用能力：

• HTTP 请求分析
• 浏览器自动化
• 命令执行环境
• Python 运行环境
• OSINT 信息收集
• 代码分析能力

对于安全研究人员来说，相当于给 AI 配备了一套基础渗透测试环境。

如何快速使用？

Strix 支持 Docker 环境运行。

基础安装：

curl -sSL https://strix.ai/install | bash

配置大模型：

export STRIX_LLM=\"openai/gpt-5.4\"

export LLM_API_KEY=\"your-api-key\"

执行扫描：

strix --target ./app-directory

也可以直接针对 GitHub 项目进行安全测试。

例如：

strix --target https://github.com/example/project

Strix 对安全人员意味着什么？

很多人认为 AI 会替代安全人员。

实际上，目前更准确的理解是：

AI 会改变安全工作的方式。

未来安全人员可能不再花大量时间做重复工作，例如：

• 简单资产分析
• 基础漏洞筛选
• 重复性测试
• 报告整理

而是把精力放在：

• 漏洞研究
• 攻击链设计
• 高级渗透
• 安全架构分析

等更高价值方向。

对于红队来说：

AI 可以成为一个自动化助手。

对于蓝队来说：

AI 可以帮助提前发现风险。

对于企业来说：

可以降低安全测试成本，提高漏洞发现效率。

写在最后

Strix 代表了一个新的方向：

AI + 网络安全 + 自动化攻击验证。

未来的安全测试，很可能不再只是“人操作工具”，而是“人管理多个安全 Agent”。

当然，目前 AI 渗透工具仍然不能完全替代专业安全人员。

复杂业务逻辑漏洞、攻击链设计、真实环境判断，依然需要经验丰富的安全研究员参与。

但不可否认的是：

AI Agent 正在成为安全行业新的生产力工具。

对于安全从业者来说，现在值得关注的不只是如何使用 AI，而是如何让 AI 成为自己的安全能力放大器。

项目地址

https://github.com/usestrix/strix

低价出售安全证书不限于cisp、pte等cnvd、建了项目群，想进群的请回复进群