🔥 Strix：25.2k Stars 的开源 AI 黑客，一行命令给你的 App 做渗透测试

项目地址：github.com/usestrix/strix | ⭐ 25.2k Stars | 🛠 Python | 作者 usestrix | 🐦 @strix_ai

老实说，我每次上线一个功能，心里都打鼓——有没有哪个接口忘了鉴权？哪个参数能被注入？手动渗透测试太慢，扫出来的报告又全是假阳性，看完只想摔键盘。

Strix 就是冲这个来的——一组自主 AI Agent，像真正的黑客一样动态跑你的代码，找到漏洞，然后当场验证给你看。不是丢个报告了事，是带着 PoC 来回复你："这里修一下。"

⚡ 安装 & 首次扫描

前提条件就两个：Docker 在跑 + 一个 LLM API Key。

# 一行安装
curl -sSL https://strix.ai/install | bash

# 配个 AI 模型
export STRIX_LLM="openai/gpt-5.4"
export LLM_API_KEY="sk-xxx"

# 开扫
strix --target ./app-directory

第一次跑会自动拉 sandbox Docker 镜像。结果存到 strix_runs/ 里。

🛠 各种扫法

基本用法很直白，但 Strix 的骚操作在后面：

# 扫本地代码
strix --target ./app-directory

# 扫 GitHub 仓库
strix --target https://github.com/org/repo

# 黑盒扫线上站点
strix --target https://your-app.com

# 带认证的灰盒测试
strix --target https://your-app.com --instruction "Perform authenticated testing using credentials: user:pass"

# 多目标：源码 + 线上一起扫
strix -t https://github.com/org/app -t https://your-app.com

# 头模式（无交互，适合 CI）
strix -n --target https://your-app.com

# 自定义测试重点
strix --target api.your-app.com --instruction "Focus on business logic flaws and IDOR"

🔧 CI/CD 集成（GitHub Actions）

这是最实用的——每个 PR 自动跑安全扫描，有问题直接卡住不让合：

name: strix-penetration-test

on:
  pull_request:

jobs:
  security-scan:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v6
        with:
          fetch-depth: 0

      - name: Install Strix
        run: curl -sSL https://strix.ai/install | bash

      - name: Run Strix
        env:
          STRIX_LLM: ${{ secrets.STRIX_LLM }}
          LLM_API_KEY: ${{ secrets.LLM_API_KEY }}
        run: strix -n -t ./ --scan-mode quick

在 PR 环境下，Strix 会自动 scope 到变更文件，只扫改过的东西。

🔑 配置推荐

export STRIX_LLM="openai/gpt-5.4"
export LLM_API_KEY="***"

# 如果用本地模型（Ollama/LMStudio）
export LLM_API_BASE="http://localhost:1234"

# 添加搜索能力
export PERPLEXITY_API_KEY="***"

# 控制推理深度
export STRIX_REASONING_EFFORT="high"

推荐模型：OpenAI GPT-5.4 / Anthropic Claude Sonnet 4.6 / Google Gemini 3 Pro。

💡 踩坑记录

Docker 是必须的 — Strix 用 sandbox 容器跑 agent，没有 Docker 装不了。不过现在大部分开发环境都配了 Docker，问题不大。

2. LLM 费用 — 深度扫描 token 消耗不小，用 --scan-mode quick 可以省点。头模式退出码非零代表扫出了漏洞，CI 里可以直接利用这个做门禁。

3. 别乱扫别人的站点 — README 里明说了 "Only test apps you own or have permission to test." 这个真不是闹着玩的。

要点总结：

一行命令安装，Docker + LLM Key 开箱即扫

支持本地代码、GitHub 仓库、线上站点三种目标

完整 coverage：注入、越权、SSRF、XSS、业务逻辑漏洞等

CI/CD 集成，PR 自动扫并做门禁

Agent 出 PoC 验证，假阳性率远低于传统扫描器

标签：#Security #AI #Pentest #DevSecOps #Python #GitHubActions #OpenSource

菜单

分享

🔥 Strix：25.2k Stars 的开源 AI 黑客，一行命令给你的 App 做渗透测试