strix: 一个通过真实概念验证（PoC）验证漏洞的自主 AI 渗透测试工具

它解决了什么问题

Strix 是一款自主 AI 渗透测试工具，旨在发现并修复应用程序中的安全漏洞。它取代了传统渗透测试的人工开销，并通过动态运行代码并使用实际的概念验证（PoC）验证发现结果，从而减少了静态分析工具中常见的误报。

工作原理

Strix 使用多智能体编排系统，其中专门的 AI 智能体协作执行侦察、利用和后渗透阶段。这些智能体利用专业的攻击性安全工具包——包括 HTTP 拦截代理（Caido）、用于客户端攻击的自动化浏览器以及用于漏洞利用开发的 Python 沙箱——来映射攻击面并执行真实的漏洞利用。它可以作为 CLI 工具部署，集成到 CI/CD 流水线（例如 GitHub Actions）中，或者通过托管平台使用。

适用人群

它专为需要快速、自动化的安全测试的开发人员和安全团队、寻求自动化 PoC 生成的漏洞赏金研究人员，以及需要符合合规要求的渗透测试报告的组织而构建。

亮点

• 真实漏洞利用验证：生成可运行的 PoC，而不仅仅是标记潜在问题。
• 多智能体编排：使用专门智能体的图结构来扩展安全测试并串联漏洞。
• 自动修复能力：生成可作为即时合并的 Pull Request 的安全补丁。
• 全面的覆盖范围：针对 OWASP Top 10 漏洞，包括注入攻击、失效的访问控制和业务逻辑缺陷。
• CI/CD 集成：自动扫描 Pull Request，在生产环境之前拦截不安全的代码。