Strix--一款开源的AI渗透测试工具，自主AI“黑客”能发现并修复您应用程序中的漏洞。

Strix 概述

Strix 是一款自主式人工智能渗透测试代理，其行为与真实黑客无异——它们动态运行您的代码，发现漏洞，并通过实际的概念验证来验证这些漏洞。该工具专为需要快速、准确的安全测试，同时又希望避免手动渗透测试带来的额外工作量或静态分析工具产生的误报的开发人员和安全团队而设计。

核心能力：

1. 完整的渗透测试工具包——开箱即用，涵盖侦察、利用和验证
2. 多智能体协调——能够协作并实现规模化的人工智能渗透测试团队
3. 真正的漏洞利用验证——有效的概念验证（PoC），而非像传统漏洞扫描器那样产生误报
4. 以开发者为中心的命令行界面（CLI）——提供可操作的发现结果及修复指导
5. 自动修复与报告——生成补丁及符合合规要求的渗透测试报告

用例

1. 应用程序安全测试——检测并验证应用程序中的关键漏洞
2. 快速渗透测试——只需数小时（而非数周）即可完成渗透测试，并提供合规报告
3. 漏洞赏金自动化——自动化漏洞赏金研究并生成概念验证（PoC），以加快漏洞报告速度
4. CI/CD 集成——在 CI/CD 中运行测试，以在漏洞进入生产环境前将其拦截

功能

基于代理的渗透测试工具

Strix 代理配备了一套全面的进攻性安全工具包——这些正是专业渗透测试人员和道德黑客所使用的工具：

1. HTTP 拦截代理——使用 Caido 全面操作和分析请求/响应
2. 浏览器漏洞利用——用于测试XSS、CSRF、点击劫持和认证绕过流程的自动化浏览器
3. Shell 与命令执行——用于漏洞利用开发和利用后操作的交互式终端
4. 自定义漏洞利用运行时——用于编写和验证概念验证型漏洞利用程序的 Python 沙箱
5. 侦察与OSINT——自动攻击面映射、子域名枚举和指纹识别
6. 静态与动态代码分析——具备 SAST + DAST 功能，可进行全面的应用程序安全测试
7. 漏洞知识库——包含 CVSS 评分和 OWASP 分类的结构化发现结果

全面漏洞扫描器

Strix 能够识别、验证并利用 OWASP 前十大安全漏洞以及其他各类安全漏洞：

1. 访问控制漏洞——IDOR、权限提升、身份验证绕过
2. 注入攻击——SQL注入、NoSQL注入、操作系统命令注入、SSTI
3. 服务器端漏洞——SSRF、XXE、不安全的反序列化、RCE
4. 客户端攻击——XSS（存储型/反射型/DOM型）、原型污染、CSRF
5. 业务逻辑缺陷——竞争条件、支付篡改、工作流绕过
6. 身份验证与会话——JWT 攻击、会话固定、凭证填充攻击向量
7. 基础设施与云服务——配置错误、暴露的服务、云安全问题
8. API 安全——身份验证漏洞、批量赋值、绕过速率限制

代理图（多代理渗透测试）

用于全面自动化渗透测试的高级多代理协调：

1. 分布式渗透测试——专用于侦察、利用和利用后处理的AI代理
2. 可扩展的安全测试——在多个目标上并行执行，实现快速、全面的覆盖
3. 动态协调——代理之间共享发现结果、串联漏洞，并像红队一样协作