## Strix 概述
Strix 是自主 AI 智能体，其行为就像真正的黑客一样——它们动态运行您的代码，发现漏洞，并通过实际的概念验证来验证这些漏洞。专为需要快速、准确安全测试的开发者和安全团队打造，无需手动渗透测试的繁琐开销，也避免了静态分析工具的误报问题。
**核心能力：**
- 开箱即用的**完整黑客工具库**
- 可协作与扩展的**智能体团队**
- 通过 PoC 进行**真实验证**，而非误报
- **开发者优先**的 CLI，提供可操作的报告
- **自动修复与报告**，加速修复流程
## 使用场景
- **应用程序安全测试** - 检测并验证您应用程序中的关键漏洞
- **快速渗透测试** - 在数小时内而非数周内完成渗透测试，并提供合规报告
- **Bug Bounty 自动化** - 自动化 Bug Bounty 研究并生成 PoC，以便更快报告
- **CI/CD 集成** - 在 CI/CD 中运行测试，在漏洞进入生产环境前将其拦截
## 🚀 快速开始
**前置条件：**
- Docker（正在运行）
- 一个 LLM API 密钥：
- 任意 [支持的提供商](https://docs.strix.ai/llm-providers/overview)（OpenAI, Anthropic, Google 等）
- 或 [Strix Router](https://models.strix.ai) — 使用单一 API 密钥访问多个提供商
### 安装与首次扫描
```
# 安装 Strix
curl -sSL https://strix.ai/install | bash
# 配置您的 AI 提供商
export STRIX_LLM="openai/gpt-5" # or "strix/gpt-5" via Strix Router (https://models.strix.ai)
export LLM_API_KEY="your-api-key"
# 运行您的首次安全评估
strix --target ./app-directory
```
## ☁️ Strix 平台
在 **[app.strix.ai](https://app.strix.ai)** 试用 Strix 全栈安全平台 —— 免费注册，连接您的仓库和域名，并在几分钟内启动渗透测试。
- **经过验证的发现结果**，包含 PoC 和复现步骤
- **一键自动修复**，生成可直接合并的 Pull Request
- **持续监控**，覆盖代码、云端和基础设施
- **集成** GitHub, Slack, Jira, Linear 和 CI/CD 流水线
- **持续学习**，基于过往发现和修复不断积累经验
[**开始您的首次渗透测试 →**](https://app.strix.ai)
## ✨ 特性
### 智能体安全工具
Strix 智能体配备了全面的安全测试工具库：
- **完整 HTTP 代理** - 完整的请求/响应操作与分析
- **浏览器自动化** - 多标签浏览器，用于测试 XSS, CSRF, 认证流程
- **终端环境** - 用于命令执行和测试的交互式 Shell
- **Python 运行时** - 自定义漏洞利用开发与验证
- **侦察** - 自动化 OSINT 和攻击面映射
- **代码分析** - 静态和动态分析能力
- **知识管理** - 结构化的发现与攻击文档
### 全面的漏洞检测
Strix 可以识别并验证广泛的安全漏洞：
- **访问控制** - IDOR, 权限提升, 认证绕过
- **注入攻击** - SQL, NoSQL, 命令注入
- **服务端** - SSRF, XXE, 反序列化缺陷
- **客户端** - XSS, 原型污染, DOM 漏洞
- **业务逻辑** - 竞态条件, 流程篡改
- **认证** - JWT 漏洞, 会话管理
- **基础设施** - 配置错误, 暴露的服务
### 智能体图谱
用于全面安全测试的高级多智能体编排：
- **分布式工作流** - 针对不同攻击和资产的专用智能体
- **可扩展测试** - 并行执行，实现快速全面覆盖
- **动态协调** - 智能体之间协作并共享发现
## 使用示例
### 基本用法
```
# 扫描本地代码库
strix --target ./app-directory
# GitHub 仓库安全审查
strix --target https://github.com/org/repo
# 黑盒 Web 应用程序评估
strix --target https://your-app.com
```
### 高级测试场景
```
# 灰盒认证测试
strix --target https://your-app.com --instruction "Perform authenticated testing using credentials: user:pass"
# 多目标测试（源代码 + 已部署应用）
strix -t https://github.com/org/app -t https://your-app.com
# 使用自定义指令进行针对性测试
strix --target api.your-app.com --instruction "Focus on business logic flaws and IDOR vulnerabilities"
# 通过文件提供详细指令（例如：交战规则、范围、排除项）
strix --target api.your-app.com --instruction-file ./instruction.md
```
### 无头模式
使用 `-n/--non-interactive` 标志以无交互 UI 的方式在程序中运行 Strix——非常适合服务器和自动化作业。CLI 会实时打印漏洞发现结果，并在退出前输出最终报告。当发现漏洞时，以非零代码退出。
```
strix -n --target https://your-app.com
```
### CI/CD (GitHub Actions)
Strix 可以添加到您的流水线中，通过轻量级 GitHub Actions 工作流对 Pull Request 运行安全测试：
```
name: strix-penetration-test
on:
pull_request:
jobs:
security-scan:
runs-on: ubuntu-latest
steps:
- uses: actions/checkout@v6
- name: Install Strix
run: curl -sSL https://strix.ai/install | bash
- name: Run Strix
env:
STRIX_LLM: ${{ secrets.STRIX_LLM }}
LLM_API_KEY: ${{ secrets.LLM_API_KEY }}
run: strix -n -t ./ --scan-mode quick
```
### 配置
```
export STRIX_LLM="openai/gpt-5"
export LLM_API_KEY="your-api-key"
# 可选
export LLM_API_BASE="your-api-base-url" # if using a local model, e.g. Ollama, LMStudio
export PERPLEXITY_API_KEY="your-api-key" # for search capabilities
export STRIX_REASONING_EFFORT="high" # control thinking effort (default: high, quick scan: medium)
```
**推荐以下模型以获得最佳效果：**
- [OpenAI GPT-5](https://openai.com/api/) — `openai/gpt-5`
- [Anthropic Claude Sonnet 4.6](https://claude.com/platform/api) — `anthropic/claude-sonnet-4-6`
- [Google Gemini 3 Pro Preview](https://cloud.google.com/vertex-ai) — `vertex_ai/gemini-3-pro-preview`
请参阅 [LLM 提供商文档](https://docs.strix.ai/llm-providers/overview) 了解所有支持的提供商，包括 Vertex AI, Bedrock, Azure 和本地模型。
## 企业版
通过[企业级](https://strix.ai/demo)控制获得相同的 Strix 体验：SSO (SAML/OIDC)、自定义合规报告、专属支持 & SLA、自定义部署选项 (VPC/自托管)、BYOK 模型支持，以及针对您的环境优化的定制智能体。[了解更多](https://strix.ai/demo)。
## 文档
完整文档可在 **[docs.strix.ai](https://docs.strix.ai)** 获取 —— 包括详细的使用指南、CI/CD 集成、技能和高级配置。
## 致谢
Strix 建立在 [LiteLLM](https://github.com/BerriAI/litellm), [Caido](https://github.com/caido/caido), [Nuclei](https://github.com/projectdiscovery/nuclei), [Playwright](https://github.com/microsoft/playwright), 和 [Textual](https://github.com/Textualize/textual) 等开源项目的杰出工作之上。衷心感谢它们的维护者！
[](https://discord.gg/strix-ai)
