Strix：让AI黑客替你攻代码，开源渗透测试Agent来了

用 AI 黑客攻自己的代码，是什么体验？

我最近试了一个开源项目，叫 Strix——自称是” autonomous AI hackers “，能自动找漏洞、生成 PoC、还能给你修。这不是那种只会扫出一堆假阳性的传统扫描器，它是真·动态渗透测试。

它到底干了什么？

简单说，Strix 会启动一个隔离沙箱，在里面模拟黑客行为：

• HTTP 拦截代理（类似 Burp Suite）
• 自动化浏览器测试 XSS、CSRF、点击劫持
• 命令执行和后渗透利用
• Python 自定义 Exploit 运行环境
• Recon + OSINT 自动测绘攻击面

最关键的是——它会生成可工作的 PoC，不是理论漏洞。传统 SAST/DAST 扫出来的东西，你还要花大量时间人工验证是不是真的。Strix 直接把 exploit 跑出来给你看，修不修你自己决定。

多 Agent 协作才是精髓

Strix 不是单一 AI 代理，它是一个 AI 渗透测试团队：多个专业角色协同作战——有人负责侦察、有人负责打点、有人负责写报告。

这其实就是 Agent Skills 领域的一个趋势：专业分工 + MCP 协议串联。Strix 也发布了官方的 SKILL.md，支持直接装入 Claude Code、Cursor、Codex 等主流 Coding Agent。

npx skills add usestrix/strix

装完以后，你的 AI 编程工具就多了四套技能：

• 自动渗透测试（headless 扫描）
• 托管式渗透测试（连 app.strix.ai 平台）
• 漏洞自动修复（修完再扫验证）
• CI 安全扫描（PR 级别阻断）

接入 CI/CD 才是杀手级场景

说实话，单独跑渗透测试不是最惊艳的。真正有价值的是把它嵌进 CI/CD 流水线——每个 PR 过来，自动跑一遍渗透扫描，发现问题就 block merge。

GitHub Actions、GitLab CI、Jenkins 都支持。团队再也不用担心”代码上线了才发现有注入漏洞”这种尴尬事。

适合谁用？

• 安全团队：想要自动化渗透测试能力
• 开发团队：想在上线前做安全自查
• Bug Bounty 选手：自动化 PoC 生成加快报告速度
• AI Agent 开发者：想给 Coding Agent 加安全能力

总结一下：Strix 不是一个花哨的 AI玩具，它是真正可以进生产流程的安全工具。如果你关心代码安全，又想体验 AI Agent 在安全领域的落地，这个项目值得研究。

GitHub：https://github.com/usestrix/strix

GitHub: https://github.com/usestrix/strix