strix：开源的自主 AI 安全代理工具，能够像真实黑客一样动态运行代码、发现并利用 PoC 验证应用程序的漏洞

摘要

Strix 是一款开源的自主 AI 安全代理工具，能够像真实黑客一样动态运行代码、发现并利用 PoC 验证应用程序的漏洞。

核心机制：通过实际的漏洞利用证明（PoC）来验证漏洞，避免了传统静态分析工具常见的误报问题，并支持自动修复与报告生成。
多代理协作：采用高级多代理编排（Graph of Agents），支持分布式工作流、并行执行和动态协调，以实现快速且全面的安全测试。
内置工具集：代理配备了完整的黑客工具包，包括 HTTP 代理、多标签浏览器自动化、交互式终端环境、Python 运行时以及自动化 OSINT 侦察。
广泛的检测范围：能够识别并验证访问控制（如 IDOR）、注入攻击（SQL/命令注入）、服务端/客户端漏洞（SSRF/XSS）、业务逻辑缺陷及基础设施配置错误。
多场景支持：适用于应用安全测试、快速渗透测试、漏洞赏金自动化，支持对本地目录、GitHub 仓库及在线 Web 应用进行黑盒或灰盒测试。
CI/CD 集成：提供非交互的 Headless 模式，可无缝集成至 GitHub Actions 等 CI/CD 流水线，在 Pull Request 阶段自动拦截不安全代码。
模型兼容性：支持多种主流 LLM（推荐使用 GPT-5、Claude Sonnet 4.6、Gemini 3 Pro Preview），并提供统一的 Strix Router 简化多模型 API 密钥管理。
项目基础：基于 Python 开发，采用 Apache License 2.0 开源协议，运行依赖 Docker 和 LLM API 密钥。

Open-source AI hackers to find and fix your app’s vulnerabilities.