红队新基建：三万星 AI 渗透平台，自带20+ 黑客工具和记忆系

原创

大白
大白

知白守黑1024

2026年10月19日 06:11
北京

去阅读

PENTAGI · 31K STARS · MIT LICENSE

红队新基建
三万星 AI 渗透平台

PentAGI · 自带 20+ 黑客工具和记忆系统 · 11 个专家角色 · 13+ 模型全支持

之前聊过的 AI 渗透工具，多多少少都带点\"演示玩具\"的气质：跑个 demo 眼花缭乱，真交给它一个目标就露怯。

今天这个不一样。它叫PentAGI——名字就很嚣张，Penetration testing Artificial General Intelligence，渗透测试通用人工智能。背后是一家迪拜安全公司 VXControl，GitHub 上31000+ Star、4800+ fork，MIT 协议，是这个赛道目前热度最高的开源项目，没有之一。

它干的事一句话说清：你用自然语言描述目标和目标，一支 AI 智能体队伍自己规划、自己调用 nmap、Metasploit、sqlmap 等 20 多个专业工具，在隔离沙箱里把测试做完，最后交一份带利用指引的报告。

官方概览：Fully Autonomous AI for Penetration Testing

先花三十秒认识它

$ whoami

▸PentAGI — 全自主 AI 渗透测试平台

▸技术栈：Go 后端 + React 前端 + Docker 微服务

▸协议：MIT · 星数：31K+ · 出品：VXControl（迪拜）

▸核心玩法：自然语言下单 → 智能体军团开工 → 报告交付

▸模型支持：OpenAI / Claude / Gemini / DeepSeek / 通义 / Kimi / 智谱 / Ollama / vLLM 等 13+ 家

$ status: 生产级工程 · 活跃迭代中 ▊

它和\"套壳 GPT 扫描器\"差在哪

现在给 GPT 套个壳、接几个扫描脚本的\"AI 渗透工具\"一抓一大把。PentAGI 的差距不在 AI，在工程——它是照着企业级安全平台的标准盖的：

沙箱隔离。所有工具调用都跑在独立 Docker 容器里，和宿主、和平台本体完全隔离，测完即销毁。AI 干的每一步都是潜在危险操作，隔离是底线。

全链路可观测。Grafana 看系统指标、Jaeger 看分布式追踪、Loki 聚合日志，还有专门的 Langfuse 面板盯着每一次 LLM 调用——AI 在想什么、花了多少 token，全程透明可回放。

API 全开。REST 和 GraphQL 双接口 + Bearer Token 鉴权，扫描任务可以直接挂进你自己的自动化流程，多租户（tenant\_id）隔离设计，团队协作不用串味。

数据留在你手里。全组件自托管，命令、结果、记忆全部存自己的 PostgreSQL，不经过任何第三方。

官方架构图：核心服务 / 知识图谱 / 监控 / 分析 / 安全工具五大板块，全部容器化（点击可放大查看）

11 个专家角色，各干各的活

PentAGI 内部不是一个大号聊天机器人，而是一支分工明确的渗透团队：

首席渗透（Primary Agent / Pentester）负责整体节奏；Coder临时写利用代码；Installer缺什么工具装什么；Searcher出门查资料（接了 Tavily、Perplexity、Google、DuckDuckGo、专挖漏洞情报的 Sploitus 等 8 家搜索源）；Memorist管记忆存取；Reporter写报告；Adviser当导师；Reflector管复盘纠偏；Planner管任务拆解。

一个任务进来，编排器先查记忆库里有没有类似的既往经验，然后按研究 → 规划 → 执行三个阶段推进，每个智能体干完活把结果存回向量库，供后面的环节和下一次任务复用：

官方时序图：编排器 → 研究 → 规划 → 执行三阶段，全程读写向量记忆（点击可放大查看）

真正值钱的是这套\"监督系统\"

用小模型跑自主智能体，最大的坑不是笨，是转圈：同一个命令反复试、卡在一条死路上不出来。PentAGI 用四件套治这个病，这套设计说实话比\"支持 xx 模型\"的口号值钱得多：

① 执行监督（导师机制）。同一个工具被调用 5 次、总调用超过 10 次，导师智能体自动介入：判断有没有在推进、是不是在原地打转，必要时直接换思路。官方拿 Qwen 实测：token 消耗 2~3 倍，结果质量提升 2 倍。

② 任务规划。开工前先拆出 3~7 个具体步骤，还标注关键动作、坑点和验证点，防止智能体越干越偏。

③ 调用硬上限。主力智能体最多 100 次工具调用，辅助类 20 次，到顶就优雅收尾，绝不允许无限烧钱。

④ 反思器。连续 3 次生成工具调用失败，Reflector 介入分析失败原因，把智能体拉回正轨。

官方给开源模型的建议很直白：32B 以下的模型，监督双开关必须开。这意味着什么？意味着你在内网拿 vLLM 跑一个开源 27B 模型，也能得到\"能干活\"的自主渗透智能体——这一点对做内网安全、对数据不能出网的团队非常关键。

会记事的 AI，才越用越强

大部分 AI 渗透工具每次都是\"失忆重启\"。PentAGI 把记忆做成了三层：长期记忆（pgvector 存历史成果和成功手法）、工作记忆（当前任务的上下文和目标）、情景记忆（过去干过的每一步和结果）。

实际效果：上次对某个 CMS 打成功的组合拳，下次遇到同类目标会被向量检索捞出来直接复用。还有个可选的Neo4j 知识图谱（Graphiti 驱动），把主机、服务、漏洞之间的关系连成网，智能体推理时能\"看图说话\"。再配上对话链压缩（Chain Summarization）管住上下文窗口，长任务不爆 token。

官方记忆系统：长期 / 工作 / 情景三层记忆 + 工具知识库（点击可放大查看）

国产大模型：全都能接

模型支持是我见过最全的：DeepSeek、智谱 GLM、Kimi、通义千问、MiniMax、OpenAI、Claude、Gemini、Mistral、Grok、AWS Bedrock、Azure OpenAI，还支持 OpenRouter 这类聚合器和任意 OpenAI 兼容端点。本地离线走Ollama / vLLM，官方甚至给了一份 vLLM + Qwen 27B 的生产级配置指南。

一个实用技巧：官方推荐给导师/规划这类\"动脑\"角色配更强的模型，跑腿执行的角色用便宜的——同一个平台里混搭，成本能压下来不少。

部署：一条命令装到能用

官方交互式安装器做得相当省心（Linux / macOS / Windows 全支持），最低配置2 核 CPU / 4G 内存 / 20G 磁盘+ Docker：

下载并运行交互式安装器

mkdir -p pentagi && cd pentagi

wget -O installer.zip \

https://pentagi.com/downloads/linux/amd64/installer-latest.zip

unzip installer.zip && sudo ./installer

安装向导会依次完成：

▸环境体检 → 生成 .env 默认配置

▸选择 LLM 提供商（填 Key 即可）

▸配置搜索引擎 → 自动生成安全凭证

▸docker-compose 一键拉起全部服务

装完浏览器打开 Web 控制台，注册账号（支持 GitHub / Google OAuth）就能用。界面里建一个 Flow，用大白话写下\"帮我测一下 xx 目标的 Web 服务\"，然后看智能体们开工就行。偏爱手动部署的，仓库里 docker-compose.yml 和全量环境变量文档都有，一个文件一个文件研究也不难。

泼点冷水

① 不是全自动印钞机。官方自己的能力边界声明写得很清醒：它是自主渗透测试平台，不是预定攻击剧本的 BRED 模拟/对手仿真产品（BAS），别拿它当自动化红队流水线。

② 很吃 token。多智能体 + 监督系统是拿 token 换质量的，开全监督后消耗 2~3 倍。用云模型记得配预算，别让账单教你做人。

③ 部分能力在企业版。Agent 档案、插件与 MCP 服务器、客户级报告、实时攻击链视图在 PentAGI Enterprise，开源版不包含。

④ 合规红线。只能对你有书面授权的目标做测试。工具是 MIT 协议，但拿它乱扫别人的系统，责任自负，和法律无关。

适合谁用

想给安全团队配一个\"不知疲倦的初级渗透工程师\"的企业、需要快速铺开资产面测试的红队、想研究多智能体工程化落地的开发者——这个项目值得认真跑一遍。反过来说，如果你只是想找个一键扫自己的网站有没有洞的轻量工具，它对你来说太重了。

31K Star 不是白来的：它是目前把\"AI 自主性\"和\"工程可靠性\"结合得最完整的开源渗透平台。AI 渗透这条路到底能走多远，PentAGI 大概是目前最有说服力的一个路标。

如果这篇干货对你有帮助，点个「在看」、点赞或转发给身边做安全的朋友，就是对我最大的支持。

想自己动手试试？

公众号后台回复20261019

获取项目地址与部署文档