AI漏洞挖掘实测：漏洞数量与成本谁更优？

原创

pippybear
pippybear

安全无界

2026年6月14日 20:30
上海

在小说阅读器读本章

去阅读

最近刚好抽出时间来，想着试试看现在比较火的灰盒agent，看看测试的效果，毕竟传统的sast产品（老版本未叠加AI分析的），跑出来的结果是真的越来越一言难尽，要么完全无结果，要么就是无关紧要的结果。

废话不多说，直接开始本期正文，本期测试的是strix和shannon，这2款都是热度比较高的agent，github上都是20～40w star。

github仓库地址如下。

https://github.com/usestrix/strixhttps://github.com/KeygraphHQ/shannon

安装都比较简单，这里就不赘述啦。本期还是使用漏洞demo来做测试，漏洞demo包含10个漏洞，整体看看这2个工具测试的效果。

strix

strix灰白盒都支持，先用白盒跑跑看效果如何。白盒命令如下。

strix --target ./app-directory

差不多能扫描到7个漏洞，但是费用着实不低。

使用strix进行灰盒扫描。

strix -t https://github.com/org/app -t https://your-app.com

相对白盒费用确实更高，不过也算是10个漏洞全部都扫描到了。

简单瞅一下漏洞输出，整体看着还不错。

shannon

shannon不像strix，只支持灰盒扫描，话不多说，命令行如下。

npx @keygraph/shannon start -u https://your-app.com -r /path/to/your-repo

整体跑下来费用上比strix还高一些，不过同样的基本上10个漏洞都成功探测到了，包括各种变形，整体也还不错。

目前看来似乎都可以将漏洞跑出来，不过也有可能是我造的demo比较简单的原因，整体来看还是初具一定的能力，但是从费用上来讲，整体花费确实有点偏高，这还只是一个简单的demo就花费了3～5刀，如果换成一个完整的项目，我估摸这至少也需要上百刀，太贵了。这里大家可以试试使用国内模型看看效果，本文就不做尝试了。