Strix：跑真实攻击的 AI 渗透测试工具（不是静态扫描器）

上线前找安全团队排期两星期，报告出来项目早迭代完了；自己跑 SAST 扫出一堆 SQL 注入，修完发现全是误报。两头都卡。

GitHub 上的 Strix（45k star）是拿来顶这个位置的：开源 AI 渗透测试工具，多个自主 Agent 像真实黑客一样动态打你的应用。找到疑似漏洞后不直接上报，先写一段能跑通的 PoC 攻击代码做验证。能复现的才进报告，复现不了的不打扰你。

和传统扫描器的本质区别

静态分析核心是模式匹配，看到字符串拼接就报注入——参数有没有过滤不关心，结果误报一大片。Strix 的 Agent 手里握的是真家伙：

• HTTP 拦截代理
• 自动化浏览器（测 XSS / CSRF）
• 可交互 shell
• 写 exploit 用的 Python 沙箱

它真的在打你的应用，打穿了才写报告。

覆盖范围

OWASP Top 10 基本齐了：SQL 注入、SSRF、XXE、IDOR、JWT 攻击、竞态条件，连支付逻辑绕过这种业务漏洞也在列表里。

多个 Agent 分工协作：一个侦察、一个搞利用、一个做后渗透，线索互相共享，能把几个小漏洞串成一条完整的攻击链。这打法是按人肉红队设计的。

上手

机器上有 Docker 就行：

curl -sSL https://strix.ai/install | bash
export STRIX_LLM="openai/gpt-5.4"
export LLM_API_KEY="your-api-key"
strix --target ./app-directory

首次运行拉一个沙箱镜像，所有攻击动作关在容器里，不碰宿主机。目标可以是本地代码目录，也可以是已部署的域名。结果输出到 strix_runs/ 目录，跑完 strix view 本地起仪表盘看报告，数据不出机器。

实用场景判断

个人开发者做上线前的自测、没有专职安全团队的内部项目、以及接入 CI/CD 流程，这基本是原生的合理用途。它跟 GitHub Actions 集成后，每个 PR 自动跑一轮安全测试，有真实可利用的漏洞直接卡合并。开发流程里常驻一个不需要排期和采购审批的安全审计员。

实际跑下来一个印象挺深的案例：我拿一个测试项目跑了一轮，它挖出一个我自己都忘了的调试接口未鉴权问题，复现步骤直接贴给同事就可以修。

失败表现与边界

• 不适用场景原文未提及（比如 Windows 宿主机支持度、离线环境、大规模应用的开销），需要自行验证。
• LLM 用量跟目标复杂度成正比。用便宜模型也能跑，但找深层漏洞的能力明显打折——这不是调参问题，是推理能力的硬上限。
• token 费用方面原文没有给具体数字，只提了"跟目标复杂度相关"，实际跑一轮的成本需要自己测。

一条底线

这东西能力是双刃剑。只能打自己的应用或者拿到授权的目标，拿去扫别人的站性质就变了，跟工具本身没关系。