企业官网建设流程全解析

Strix 上手指南：3 步让 AI 自动发现你的应用漏洞

【免费下载链接】strixOpen-source AI penetration testing tool to find and fix your app’s vulnerabilities.项目地址: https://gitcode.com/GitHub_Trending/strix/strix

Strix 是一个开源的 AI 渗透测试工具，它会派出一队像真实黑客一样行动的 AI 代理，动态运行你的代码、找出漏洞，并给每个漏洞附上可复现的概念验证（PoC）。适合想自动做安全测试、又不想忍受高成本和误报的开发者与安全团队。

为什么需要这样一个工具

人工渗透测试周期长、费用高，一次完整测试往往要排期数周；静态分析工具则经常吐出一堆误报，需要人工逐条甄别；传统 DAST 能爬你的站点，但不太会规划攻击路径。Strix 的思路是把渗透测试专家的经验交给 AI 代理：它不只是在代码里标记可疑点，而是真的发请求、构造利用、验证结果，确认能打穿之后才报告。也就是说，它报出来的东西基本都能复现，你拿到的是一份可以直接开工修复的清单。

3 分钟跑起来

准备工作只有一个：机器上跑着 Docker，再准备任意一家 LLM 提供商的 API key（OpenAI、Anthropic、Google 等）。

1. 安装 Strix 并配置模型（官方默认推荐openrouter/z-ai/glm-5.3，也可以换成 OpenAI、Anthropic 的模型）：

curl -sSL https://strix.ai/install | bash export STRIX_LLM="openrouter/z-ai/glm-5.3" export LLM_API_KEY="your-api-key"

2. 指向你的应用，跑第一次扫描：

strix --target ./app-directory

3. 首次运行会自动拉取沙箱 Docker 镜像，稍等片刻。扫描结果会边跑边写入strix_runs/<run-name>目录，随时可以查看。

也可以不装脚本，直接用pipx install strix-agent从 PyPI 安装。至此整个上手路径就走完了，不需要其他配置。

它到底能干什么

动态验证：只报真实打穿的漏洞

代理不会纸上谈兵。比如它怀疑某个接口缺少输入校验，就会真的发一个精心构造的请求，把响应贴回终端，确认利用成功后才输出漏洞报告，报告里带 CVSS 评分、影响分析和复现步骤。下面这个截图就是它在终端里确认一个业务逻辑漏洞（允许提交负数金额下单）后的样子：

多代理协同

一个扫描任务会被拆成侦察、利用、后渗透等多个专职代理，各自并行工作、共享发现，还能把几个小发现串成完整攻击链。目标越大，这种分工带来的覆盖越明显。

技能库：把专家经验喂给代理

大模型对安全知识的了解通常是“知道有这回事”，但缺细节。Strix 把渗透技巧写成 Markdown 技能文件——SQL 注入、JWT 攻击、IDOR、竞态条件等，目前有 70 多个。代理启动时会根据任务自动挑选最多 5 个相关技能注入上下文，让它从“听说过”变成“会操作”。技能文件都放在 strix/skills/ 目录，想加自己的也可以直接往里写。

CI/CD 集成

加一个-n参数进入无头模式，就适合放进流水线。在 pull request 场景下，quick 模式会自动把范围收窄到本次改动的文件，速度很快；发现漏洞时进程以退出码 2 结束，可以直接接在合并流程前当质量门禁用。

选哪种扫描模式

Strix 提供三档扫描深度，耗时差别很大：

strix --target ./app --scan-mode quick # 几分钟 strix --target ./app --scan-mode standard # 30 分钟到 1 小时 strix --target ./app --scan-mode deep # 1-4 小时，默认

官方给的经验是：每个 PR 用 quick，每周例行扫描用 standard，大版本发布前或挖漏洞用 deep。

实用建议

• 只扫你有权扫的东西。Strix 会主动向目标发真实请求，只指向自己拥有、或拿到书面授权的系统，这是底线。
• 默认是 deep 模式。不传--scan-mode就是最慢的 1-4 小时深度扫描，跑 CI 时务必显式写 quick，否则流水线会卡很久。
• 配置会自动保存。环境变量会写进~/.strix/cli-config.json，下次不用重新 export。
• 用strix view看扫描过程。它起一个本地仪表盘，显示发现列表、实时代理协作图和历次运行记录，数据全部读自本机文件，不上云。详见 docs/usage/viewer.mdx。
• 模型选择影响结果质量。官方默认推荐 Z.ai GLM-5.3，OpenAI、Anthropic、Google 以及本地模型（Ollama 等）都支持，可以先拿同一个目标对比一轮再定。

小结

Strix 把过去要排期数周的“发现漏洞并确认能打穿”流程压缩成一条命令行，结果自带 PoC，基本不用再处理误报。建议先拿一个随便折腾的测试应用跑一次 quick 扫描找感觉，之后再接入 CI 给合并流程加上安全门禁。完整的 CLI 选项可以接着看 docs/usage/cli.mdx。

【免费下载链接】strixOpen-source AI penetration testing tool to find and fix your app’s vulnerabilities.项目地址: https://gitcode.com/GitHub_Trending/strix/strix