# Zen-AI-渗透测试
[](https://github.com/SHAdd0WTAka/Zen-Ai-Pentest/actions)
[](https://codecov.io/gh/SHAdd0WTAka/Zen-Ai-Pentest)
[](https://www.python.org/downloads/)
[](LICENSE)
[/badge.svg)](https://github.com/SHAdd0WTAka/Zen-Ai-Pentest/actions)
[](https://zen-ai-pentest.pages.dev/)
[](https://www.bestpractices.dev/projects/11957)
- **访客控制**：在隔离的虚拟机中执行工具
### 🌐 在线演示
- **前端**：[https://zen-ai-pentest.pages.dev](https://zen-ai-pentest.pages.dev/) - React 仪表盘
- **API**：[https://zen-ai-pentest.workers.dev](https://zen-ai-pentest.workers.dev/) - Cloudflare Workers API
- **登录**：`admin` / `admin`（用于演示目的）
### 🚀 现代 API 与后端
- **FastAPI**：高性能 REST API
- **PostgreSQL**：持久化数据存储
- **WebSocket**：实时扫描更新
- **JWT 认证**：基于角色的访问控制 (RBAC)
- **后台任务**：异步扫描执行
### 📊 报告与通知
- **PDF 报告**：专业的发现报告
- **HTML 仪表盘**：交互式 Web 界面
- **Slack/邮件**：即时通知
- **JSON/XML**：与其他工具集成
### 🐳 轻松部署
- **Docker Compose**：一键全栈部署
- **CI/CD**：GitHub Actions 流水线
- **生产就绪**：针对企业使用优化
## 🎯 真实数据执行 - 无模拟！
Zen-AI-Pentest 执行**真实的安全工具** - 无模拟、无伪造，仅执行实际工具：
- ✅ **Nmap** - 真实端口扫描及 XML 输出解析
- ✅ **Nuclei** - 真实漏洞检测及 JSON 输出
- ✅ **SQLMap** - 带安全控制的真实 SQL 注入测试
- ✅ **FFuF** - 极速 Web 模糊测试工具
- ✅ **WhatWeb** - 技术检测（900+ 插件）
- ✅ **WAFW00F** - WAF 检测（50+ 签名）
- ✅ **Subfinder** - 子域名枚举
- ✅ **HTTPX** - 快速 HTTP 探测
- ✅ **Nikto** - Web 漏洞扫描器
- ✅ **多智能体** - 研究员与分析员智能体协作
- ✅ **Docker 沙箱** - 隔离的工具执行以确保安全
📖 **增强工具：** [README_ENHANCED_TOOLS.md](README_ENHANCED_TOOLS.md)
所有工具均在**安全控制**下运行：
- 私有 IP 阻断（保护内部网络）
- 超时管理（防止挂起）
- 资源限制（CPU/内存约束）
- 只读文件系统（Docker 沙箱）
📖 **详情：** [IMPLEMENTATION_SUMMARY.md](IMPLEMENTATION_SUMMARY.md)
## 🚀 快速开始
[](https://github.com/SHAdd0WTAka/zen-ai-pentest/releases)
[](https://python.org)
[](LICENSE)
[](https://github.com/SHAdd0WTAka/zen-ai-pentest/commits/main)
[](./docs/status/repo_status_card.svg)
[](https://pypi.org/project/zen-ai-pentest/)
[](docker/)
[](tools/)
[](https://github.com/SHAdd0WTAka/Zen-Ai-Pentest/actions)
[](https://github.com/SHAdd0WTAka/Zen-Ai-Pentest/actions/workflows/security.yml)
[](https://codecov.io/gh/SHAdd0WTAka/zen-ai-pentest)
[](https://discord.gg/BSmCqjhY)
[](docs/)
[](ROADMAP_2026.md)
[](https://www.bestpractices.dev/de/projects/11957/passing)
[](https://github.com/marketplace/actions/zen-ai-pentest)
[](#-authors--team)
## 📚 目录
- [概述](#-overview)
- [功能特性](#-features)
- [面向 AI 智能体](#-for-ai-agents)
- [快速开始](#-quick-start)
- [安装说明](#-installation)
- [使用方法](#-usage)
- [系统架构](#-architecture)
- [API 参考](#-api-reference)
- [项目结构](#-project-structure)
- [配置说明](#-configuration)
- [密钥管理](#-secret-management)
- [测试说明](#-testing)
- [Docker 部署](#-docker-deployment)
- [安全第一](#-safety-first)
- [文档资料](#-documentation)
- [贡献指南](#-contributing)
- [社区与支持](#-community--support)
- [许可证](#-license)
## 🎯 概述
**Zen-AI-Pentest** 是一个自主的、AI 驱动的渗透测试框架，将尖端的语言模型与专业的安全工具相结合。专为安全专业人员、漏洞赏金猎人和企业安全团队打造。
```
graph TB
subgraph "Client Interface"
WebUI[🌐 Web UI]
CLI[💻 CLI]
API_Client[🔌 REST API]
end
subgraph "API Gateway"
FastAPI[FastAPI + WebSocket]
Auth[🔐 JWT/RBAC]
AgentMgr[🤖 Agent Manager]
end
subgraph "Workflow Orchestrator"
Guardrails[🛡️ Guardrails]
TaskQueue[📊 Task Queue]
RiskLevels[⚠️ Risk Levels 0-3]
VPN[🔒 VPN Check]
State[📈 State Machine]
end
subgraph "Agent Pool"
Agent1[🤖 Agent #1]
Agent2[🤖 Agent #2]
AgentN[🤖 Agent #N]
end
subgraph "Security Toolkit"
Nmap[🔍 nmap]
Whois[📡 whois]
Dig[🌐 dig]
Nuclei[⚡ nuclei]
SQLMap[🎯 sqlmap]
end
subgraph "Data Layer"
Postgres[🐘 PostgreSQL]
Redis[⚡ Redis Cache]
Storage[📁 File Storage]
end
WebUI --> FastAPI
CLI --> FastAPI
API_Client --> FastAPI
FastAPI --> Auth
Auth --> AgentMgr
AgentMgr --> Guardrails
Guardrails --> TaskQueue
TaskQueue --> RiskLevels
RiskLevels --> VPN
VPN --> State
State --> Agent1
State --> Agent2
State --> AgentN
Agent1 --> Nmap
Agent1 --> Whois
Agent2 --> Dig
Agent2 --> Nuclei
AgentN --> SQLMap
Nmap --> Postgres
Whois --> Redis
SQLMap --> Storage
```
### 主要亮点
- 🤖 **AI 驱动**：利用最先进的大语言模型进行智能决策
- 🔒 **安全至上**：多重安全控制和验证层
- 🚀 **生产就绪**：企业级 CI/CD、监控和支持
- 📊 **全面覆盖**：集成 72+ 安全工具
- 🔧 **易于扩展**：支持自定义工具和集成的插件系统
- ☁️ **云原生**：支持 AWS、Azure 或 GCP 部署
- 📱 **快速访问**：扫描二维码即可即时移动端访问
☝️ Click to view all QR codes or scan with your phone!
## ✨ 功能特性
### 🤖 自主 AI 智能体
- **ReAct 模式**：推理 → 行动 → 观察 → 反思
- **状态机**：空闲 → 规划 → 执行 → 观察 → 反思 → 完成
- **记忆系统**：短期、长期和上下文窗口管理
- **工具编排**：自动选择和执行 72+ 渗透测试工具
- **自我修正**：重试逻辑和自适应规划
- **人机交互**：关键决策可选暂停
### 🎯 风险引擎
- **误报减少**：采用贝叶斯过滤的多因素验证
- **业务影响**：财务、合规和声誉风险计算
- **CVSS/EPSS 评分**：行业标准的漏洞评估
- **优先级排序**：自动化的发现优先级排序
- **LLM 投票**：多模型共识以提高准确性
### 🔒 漏洞验证
- **沙箱执行**：基于 Docker 的隔离测试
- **安全控制**：4 级安全系统（只读到完全访问）
- **证据收集**：截图、HTTP 捕获、PCAP
- **证据链**：完整的审计追踪
- **修复建议**：自动修复建议
### 📊 基准测试
- **竞品对比**：对比 PentestGPT、AutoPentest、手动测试
- **测试场景**：HTB 机器、OWASP WebGoat、DVWA
- **指标**：发现时间、覆盖率、误报率
- **可视化报告**：图表和统计分析
- **CI 集成**：自动化回归测试
### 🔗 CI/CD 集成
- **GitHub Actions**：原生 Action 支持
- **GitLab CI**：流水线集成
- **Jenkins**：插件和流水线支持
- **输出格式**：JSON、JUnit XML、SARIF
- **通知**：Slack、JIRA、邮件告警
- **退出码**：对流水线友好的状态码
### 🧠 AI 人格系统
- **11 种专业人格**：侦察、漏洞利用、报告、审计、社会工程、网络、移动、红队、工控、云、加密
- **CLI 工具**：交互式和单次执行模式（`k-recon`、`k-exploit` 等）
- **REST API**：基于 Flask 的 API，支持 WebSocket
- **Web UI**：现代化的浏览器界面，支持截图分析
- **上下文保持**：带记忆的多轮对话
- **截图分析**：上传图片并由 AI 人格进行分析
### 🛡️ 安全护栏
- **IP 验证** - 阻断私有网络（10.x、192.168.x、172.16-31.x）
- **域名过滤** - 防止 localhost/内部域名扫描
- **风险等级** - 4 个等级（安全 → 激进）及工具限制
- **速率限制** - 防止意外 DoS
### 🤖 多智能体系统
- **工作流编排器** - 管理复杂的渗透测试工作流
- **任务分发** - 将任务分配给可用智能体
- **实时更新** - WebSocket 通信
- **结果聚合** - 收集并分析发现
### 🔒 VPN 集成（可选）
- **ProtonVPN 支持** - 原生 CLI 集成
- **通用检测** - 支持 OpenVPN、WireGuard 等
- **安全警告** - 在没有 VPN 时扫描会发出警报
- **严格模式** - 可要求必须使用 VPN 才能扫描
### 🐳 Docker 就绪
- **一键部署** - `docker-compose up -d`
- **隔离环境** - 所有工具预装
- **可扩展** - 运行多个智能体
- **生产就绪** - 健康检查与监控
### 🛠️ 72+ 集成工具
| 类别 | 工具 |
|----------|-------|
| **网络** | Nmap, Masscan, Scapy, Tshark, tcpdump, netdiscover, arp-scan |
| **Web** | BurpSuite, SQLMap, Gobuster, OWASP ZAP, FFuF, Nikto, WAFW00F, WhatWeb, Nuclei |
| **漏洞利用** | Metasploit Framework, SearchSploit |
| **暴力破解** | Hydra, Hashcat, John, Ncrack |
| **侦察** | Amass, Nuclei, TheHarvester, Subfinder, HTTPX, Sherlock, Ignorant, Scout |
| **活动目录** | BloodHound, NetExec, Responder, ldapsearch, enum4linux |
| **无线** | Aircrack-ng 套件 (aircrack-ng, airmon-ng, airodump-ng, aireplay-ng) |
| **OSINT** | Sherlock, Ignorant, TheHarvester, Scout |
| **代码分析** | Semgrep, TruffleHog, Gitleaks, Bandit |
| **容器** | Trivy, Docker, Kubectl |
| **系统** | Netcat, Socat, OpenSSL, Proxychains, Tor |
### 🔍 子域名扫描器
- **多技术枚举**：DNS、字典、证书透明度
- **高级技术**：区域传送 (AXFR)、排列/变形
- **OSINT 集成**：VirusTotal、AlienVault OTX、BufferOver
- **IPv6 支持**：AAAA 记录枚举
- **技术检测**：存活主机的自动指纹识别
- **导出格式**：JSON、CSV、TXT
- **REST API**：异步和同步扫描端点
- **CLI 工具**：具有丰富选项的独立扫描器
### 🤖 面向 AI 智能体
- **[AGENTS.md](AGENTS.md)** - AI 开发合作伙伴必备指南
- **真实工具执行** - 无模拟，实际安全工具
- **多体系统** - 研究员、分析员、漏洞利用智能体
- **安全控制** - 4 级沙箱系统
- **架构指南** - 完整的系统概述
### 🔔 通知与集成
- **Telegram 机器人**：@Zenaipenbot - 即时 CI/CD 通知
- **Discord 集成**：自动频道更新与 GitHub Webhooks
- **Slack/邮件**：企业级通知支持
- **GitHub Actions**：原生工作流集成
- **二维码画廊**：快速访问所有资源
### ☁️ 多云与虚拟化
- **本地**：VirtualBox 虚拟机管理
- **云端**：AWS EC2、Azure VMs、Google Cloud Compute
- **快照**：自动化纯净状态工作流
### 选项 1：Docker（推荐）
```
# 克隆仓库
git clone https://github.com/SHAdd0WTAka/zen-ai-pentest.git
cd zen-ai-pentest
# 复制并配置环境
cp .env.example .env
# 使用您的设置编辑 .env
# 启动全栈
docker-compose up -d
# 访问：
# 仪表板：http://localhost:3000
# API 文档：http://localhost:8000/docs
# API：http://localhost:8000
```
### 选项 2：本地安装
```
# 安装依赖
pip install -r requirements.txt
# 初始化数据库
python database/models.py
# 启动 API 服务器
python api/main.py
# 运行子域名扫描
python scan_target_subdomains.py
# 或使用高级 CLI
python tools/subdomain_enum.py example.com --advanced
```
### 选项 3：AI 人格快速开始
```
# 启动 AI 人设 API 和 Web UI
bash api/QUICKSTART.sh
# 或手动：
bash api/manage.sh start
# 打开 http://127.0.0.1:5000
# CLI 用法
source tools/setup_aliases.sh
k-recon "Target: example.com"
k-exploit "Write SQLi scanner"
k-chat # Interactive mode
```
### 选项 4：VirtualBox 虚拟机设置
```
# 自动化 Kali Linux 设置
python scripts/setup_vms.py --kali
# 手动设置
# 参见 docs/setup/VIRTUALBOX_SETUP.md
```
## 📖 安装说明
详细的安装说明请参阅：
- **[Docker 安装](docs/INSTALLATION.md#quick-start-docker)**
- **[本地安装](docs/INSTALLATION.md#local-installation)**
- **[生产部署](docs/INSTALLATION.md#production-deployment)**
- **[VirtualBox 设置](docs/setup/VIRTUALBOX_SETUP.md)**
## 💻 使用方法
### Python API
```
from agents.react_agent import ReActAgent, ReActAgentConfig
# 配置代理
config = ReActAgentConfig(
max_iterations=10,
use_vm=True,
vm_name="kali-pentest"
)
# 创建代理
agent = ReActAgent(config)
# 运行自主扫描
result = agent.run(
target="example.com",
objective="Comprehensive security assessment"
)
# 生成报告
print(agent.generate_report(result))
```
### REST API
```
# 认证
curl -X POST http://localhost:8000/auth/login \
-H "Content-Type: application/json" \
-d '{"username":"admin","password":"admin"}'
# 创建扫描
curl -X POST http://localhost:8000/scans \
-H "Authorization: Bearer $TOKEN" \
-H "Content-Type: application/json" \
-d '{"name":"Network Scan","target":"192.168.1.0/24","scan_type":"network","config":{"ports":"top-1000"}}'
# 执行工具
curl -X POST http://localhost:8000/tools/execute \
-H "Authorization: Bearer $TOKEN" \
-d '{"tool_name":"nmap_scan","target":"scanme.nmap.org","parameters":{"ports":"22,80,443"}}'
# 生成报告
curl -X POST http://localhost:8000/reports \
-H "Authorization: Bearer $TOKEN" \
-d '{"scan_id":1,"format":"pdf","template":"default"}'
```
### WebSocket（实时）
```
const ws = new WebSocket("ws://localhost:8000/ws/scans/1");
ws.onmessage = (event) => {
const data = JSON.parse(event.data);
console.log("Scan update:", data);
};
```
## 🏗️ 系统架构
```
┌─────────────────────────────────────────────────────────────────────┐
│ CLIENT INTERFACE │
├─────────────────────────────────────────────────────────────────────┤
│ ┌──────────────┐ ┌──────────────┐ ┌──────────────┐ │
│ │ 🌐 Web UI │ │ 💻 CLI │ │ 🔌 API │ │
│ │ (React) │ │ (Python) │ │ (REST) │ │
│ └──────┬───────┘ └──────┬───────┘ └──────┬───────┘ │
└─────────┼─────────────────┼─────────────────┼───────────────────────┘
│ │ │
└─────────────────┼─────────────────┘
│ HTTPS / JWT
▼
┌─────────────────────────────────────────────────────────────────────┐
│ API GATEWAY │
│ FastAPI + WebSocket │
│ ┌──────────────┐ ┌──────────────┐ ┌──────────────┐ │
│ │ 🔐 Auth │ │ 📋 Work- │ │ 🤖 Agent │ │
│ │ (JWT/RBAC) │ │ flow API │ │ Manager │ │
│ └──────────────┘ └──────────────┘ └──────────────┘ │
└─────────────────────────┬───────────────────────────────────────────┘
│
▼
┌─────────────────────────────────────────────────────────────────────┐
│ WORKFLOW ORCHESTRATOR │
├─────────────────────────────────────────────────────────────────────┤
│ ┌──────────────┐ ┌──────────────┐ ┌──────────────┐ │
│ │ 🛡️ │ │ 📊 Task │ │ ⚠️ Risk │ │
│ │ Guardrails │ │ Queue │ │ Levels │ │
│ │ (IP/Domain │ │ │ │ (0-3) │ │
│ │ Filter) │ │ │ │ │ │
│ └──────────────┘ └──────────────┘ └──────────────┘ │
│ ┌──────────────┐ ┌──────────────┐ ┌──────────────┐ │
│ │ 🔒 VPN │ │ 📈 State │ │ 📝 Report │ │
│ │ Check │ │ Machine │ │ Generator │ │
│ └──────────────┘ └──────────────┘ └──────────────┘ │
└─────────────────────────┬───────────────────────────────────────────┘
│ WebSocket + Task Distribution
▼
┌─────────────────────────────────────────────────────────────────────┐
│ AGENT POOL │
├─────────────────────────────────────────────────────────────────────┤
│ ┌──────────────┐ ┌──────────────┐ ┌──────────────┐ │
│ │ 🤖 Agent │ │ 🤖 Agent │ │ 🤖 Agent │ │
│ │ #1 │ │ #2 │ │ #N │ │
│ │ (Docker) │ │ (Docker) │ │ (Docker) │ │
│ └──────┬───────┘ └──────┬───────┘ └──────┬───────┘ │
└─────────┼─────────────────┼─────────────────┼───────────────────────┘
│ │ │
▼ ▼ ▼
┌─────────────────────────────────────────────────────────────────────┐
│ SECURITY TOOLKIT │
├─────────────────────────────────────────────────────────────────────┤
│ ┌──────────┐ ┌──────────┐ ┌──────────┐ ┌──────────┐ ┌──────────┐ │
│ │ 🔍 │ │ 📡 │ │ 🌐 │ │ ⚡ │ │ 🎯 │ │
│ │ nmap │ │ whois │ │ dig │ │ nuclei │ │ sqlmap │ │
│ │ │ │ │ │ │ │ │ │ │ │
│ └──────────┘ └──────────┘ └──────────┘ └──────────┘ └──────────┘ │
└─────────────────────────────────────────────────────────────────────┘
│
▼
┌─────────────────────────────────────────────────────────────────────┐
│ DATA LAYER │
├─────────────────────────────────────────────────────────────────────┤
│ ┌──────────────┐ ┌──────────────┐ ┌──────────────┐ │
│ │ 🐘 Postgre │ │ ⚡ Redis │ │ 📁 File │ │
│ │ SQL │ │ Cache │ │ Storage │ │
│ │ (State) │ │ (Queue) │ │ (Reports) │ │
│ └──────────────┘ └──────────────┘ └──────────────┘ │
└─────────────────────────────────────────────────────────────────────┘
```
详细的架构文档请参阅 [docs/ARCHITECTURE.md](docs/ARCHITECTURE.md)。
## 📡 API 参考
- **[API 文档](docs/API.md)** - 完整的 REST API 参考
- **[WebSocket API](docs/API.md#websocket)** - 实时更新
- **[身份验证](docs/API.md#authentication)** - 安全与认证
## 📁 项目结构
```
zen-ai-pentest/
├── api/ # FastAPI Backend (main.py, auth.py, websocket.py)
├── agents/ # AI Agents (react_agent.py, react_agent_vm.py)
├── autonomous/ # ReAct Loop (agent_loop.py, exploit_validator.py, memory.py)
├── tools/ # 72+ Security Tools
│ ├── Network: nmap, masscan, scapy, tshark, tcpdump, netdiscover, arp-scan
│ ├── Web: nuclei, sqlmap, nikto, zap, burpsuite, ffuf, gobuster, wafw00f, whatweb
│ ├── Recon: subfinder, amass, httpx, theharvester, subdomain_scan, unified_recon
│ ├── AD: bloodhound, netexec, responder, ldapsearch, enum4linux, rpcclient, smbclient
│ ├── OSINT: sherlock, scout, ignorant
│ ├── Secrets: trufflehog, gitleaks, trivy
│ ├── Wireless: aircrack-ng, airmon-ng, airodump-ng, aireplay-ng
│ ├── Brute Force: hydra, hashcat, john, ncrack
│ ├── Code: semgrep, bandit
│ ├── Cloud/Container: docker, kubectl
│ ├── AI/Kimi: kimi_cli, kimi_helper, update_personas
│ └── Core: tool_caller, tool_registry
├── risk_engine/ # Risk Analysis (cvss.py, epss.py, false_positive_engine.py)
├── benchmarks/ # Performance Testing
├── integrations/ # CI/CD (github, gitlab, slack, jira, jenkins)
├── database/ # PostgreSQL Models
├── gui/ # React Dashboard
├── reports/ # PDF/HTML/JSON Generator
├── notifications/ # Alerts (slack, email)
├── docker/ # Deployment configs
├── docs/ # Documentation (ARCHITECTURE.md, INSTALLATION.md, API.md, setup/)
├── tests/ # Test Suite
└── scripts/ # Setup Scripts
```
## 🔧 配置说明
Zen-AI-Pentest 支持**两种方式**来管理配置和密钥。请选择适合您安全要求的方式：
| 方式 | 适用场景 | 安全等级 | 设置复杂度 |
|----------|----------|----------------|------------------|
| **🛡️ Obsidian Vault**（推荐） | 生产环境、团队 | ⭐⭐⭐⭐⭐ 高 | 中等 |
| **📄 .env 文件** | 开发环境、快速开始 | ⭐⭐⭐ 中等 | 简单 |
### 🛡️ 选项 1：Obsidian Vault（推荐）
将密钥安全地存储在带有 MCP 集成的加密 Obsidian 库中。密钥永远不会进入您的代码库。
```
# 1. 设置 Obsidian Secrets Vault
bash mcp/obsidian/setup.sh
# 2. 编辑您的密钥
code ~/Documents/Obsidian\ Vault/Secrets/secrets.yaml
# 3. 重新加载 VS Codium
Ctrl+Shift+P → Developer: Reload Window
```
**库结构：**
```
# ~/Documents/Obsidian Vault/Secrets/secrets.yaml
kimi:
api_key: "sk-your-kimi-api-key"
openai:
api_key: "sk-your-openai-key"
database:
url: "postgresql://postgres:pass@localhost:5432/zen_pentest"
notifications:
slack_webhook: "https://hooks.slack.com/..."
```
**优势：**
- 🔐 静态加密（Obsidian 加密）
- 🚫 永不提交到 Git
- 🤖 通过 MCP 服务器实现 AI 辅助
- 🔄 热重载无需重启
- 🔒 **100% 本地处理** - 密钥永不离开您的设备
🔑 **安全保证：**
📖 **完整库文档**：[mcp/obsidian/README.md](mcp/obsidian/README.md) | [详细架构](docs/SECRETS_ARCHITECTURE.md)
### 📄 选项 2：环境变量（.env）
使用本地 `.env` 文件快速设置开发环境。
```
# 1. 复制示例文件
cp .env.example .env
# 2. 使用您的密钥进行编辑
nano .env
# 3. 加载环境
source .env
```
**`.env` 示例：**
```
# 数据库
DATABASE_URL=postgresql://postgres:password@localhost:5432/zen_pentest
# 安全
SECRET_KEY=your-secret-key-here
JWT_EXPIRATION=3600
# AI 提供商（推荐 Kimi AI）
KIMI_API_KEY=your-kimi-api-key
DEFAULT_BACKEND=kimi
DEFAULT_MODEL=kimi-k2.5
# 替代后端（可选）
# OPENAI_API_KEY=sk-...
# ANTHROPIC_API_KEY=sk-ant-...
# OPENROUTER_API_KEY=...
# 通知
SLACK_WEBHOOK_URL=https://hooks.slack.com/...
SMTP_HOST=smtp.gmail.com
# 云提供商
AWS_ACCESS_KEY_ID=AKIA...
AZURE_SUBSCRIPTION_ID=...
```
⚠️ **重要**：将 `.env` 添加到您的 `.gitignore`！
```
.env
.env.local
.env.*.local
```
请参阅 `.env.example` 了解所有可用选项。
### 🔄 在选项之间切换
您可以随时在 Vault 和 `.env` 之间切换：
```
# 检查当前配置
python3 -c "from core.config import settings; print(settings.secret_source)"
# 强制从 Vault 重新加载
export USE_VAULT=true
# 强制从 .env 重新加载
export USE_ENV_FILE=true
```
## 🔐 密钥管理
Zen-AI-Pentest 使用 **Obsidian MCP 服务器**进行安全的凭证管理。所有密钥都本地存储在加密的 Obsidian 库中 - 绝不存储在代码仓库中。
### 🚀 快速设置
```
# 1. 设置 Obsidian Secrets Vault
bash mcp/obsidian/setup.sh
# 2. 编辑您的密钥
code ~/Documents/Obsidian\ Vault/Secrets/secrets.yaml
# 3. 重新加载 VS Codium
Ctrl+Shift+P → Developer: Reload Window
```
### 🎯 优势
| 功能 | 优势 |
|---------|---------|
| **Obsidian 加密** | 即使笔记本电脑被盗，密钥依然安全 |
| **Git 中无密钥** | 推送到 GitHub 时无需恐慌 |
| **本地 MCP 服务器** | 不传输到外部服务器 |
| **关注点分离** | 清晰的架构 - 代码与凭证分离 |
### 📁 支持的密钥
- **AI 提供商**：Kimi、OpenAI、Anthropic、Gemini、OpenRouter
- **云服务**：AWS、Azure、GCP 凭证
- **数据库**：PostgreSQL、Redis 密码
- **安全**：JWT 密钥、加密密钥
- **通知**：Slack、Discord、邮件 SMTP
- **VPN**：ProtonVPN、OpenVPN、WireGuard
### 🔌 MCP 集成
在聊天中直接访问密钥：
```
{
"mcpServers": {
"obsidian-secrets": {
"command": "python3",
"args": ["mcp/obsidian/server.py"]
}
}
}
```
📖 **完整文档**：[mcp/obsidian/README.md](mcp/obsidian/README.md)
⚠️ **重要**：确保您的 `.gitignore` 包含：
```
.env
.env.load.sh
*.key
*.pem
secrets.yaml
secrets.json
.obsidian/ # If Obsidian config is also sensitive
```
## 🧪 测试
```
# 运行所有测试
pytest
# 带覆盖率
pytest --cov=. --cov-report=html
# 特定测试文件
pytest tests/test_react_agent.py -v
# 集成测试
pytest tests/integration/ -v
```
## 🐳 Docker 部署
### 快速设置（WSL2 + Docker）
我们推荐在 WSL2 (Ubuntu) 中使用 Docker 以获得最佳性能：
**选项 1：自动设置**
```
# Windows：启动 Setup-Launcher
scripts\docker-setup.bat
# 或直接在 Ubuntu WSL 中：
./scripts/setup_docker_wsl2.sh
```
**选项 2：Docker Desktop (Windows)**
```
# 以管理员身份运行 PowerShell：
powershell -ExecutionPolicy Bypass -File scripts/setup_docker_windows.ps1
```
📖 **[完整的 Docker + WSL2 指南](DOCKER_WSL2_SETUP.md)** - 两种选项的详细步骤
### 启动全栈
```
# Docker 安装完成后：
docker-compose up -d
# 检查状态
docker-compose ps
# 查看日志
docker-compose logs -f api
# 扩展代理
docker-compose up -d --scale agent=3
```
### 服务
| 服务 | 端口 | 描述 |
|---------|------|-------------|
| API | 8000 | FastAPI 服务器 |
| PostgreSQL | 5432 | 数据库 |
| Redis | 6379 | 缓存 |
| Agent | - | 渗透测试智能体 |
📖 **[完整 Docker 指南](DOCKER.md)**
## 🛡️ 安全第一
### 默认保护
- ✅ **私有 IP 阻断** - 防止扫描 10.0.0.0/8、172.16.0.0/12、192.168.0.0/16
- ✅ **回环保护** - 阻断 127.x.x.x 和 ::1
- ✅ **本地域名过滤** - 防止 .local、.internal、localhost
- ✅ **风险等级控制** - 根据安全等级限制工具
- ✅ **速率限制** - 防止滥用
### 风险等级
| 等级 | 工具 | 描述 |
|-------|-------|-------------|
| **安全 (0)** | whois, dns, subdomain | 仅限侦察 |
| **正常 (1)** | + nmap, nuclei | 标准扫描 |
| **提升 (2)** | + sqlmap, exploit | 轻度漏洞利用 |
| **激进 (3)** | + pivot, lateral | 完全漏洞利用 |
⚠️ **扫描前请务必确保您已获得授权！**
## 📚 文档资料
| 文档 | 描述 |
|----------|-------------|
| [DOCKER.md](DOCKER.md) | Docker 部署指南 |
| [GUARDRAILS.md](GUARDRAILS.md) | 安全护栏文档 |
| [GUARDRAILS_INTEGRATION.md](GUARDRAILS_INTEGRATION.md) | 护栏集成指南 |
| [VPN_INTEGRATION.md](VPN_INTEGRATION.md) | VPN 设置与使用 |
| [DEMO_E2E.md](DEMO_E2E.md) | 端到端演示文档 |
| [AGENTS.md](AGENTS.md) | 智能体开发指南 |
## 🤝 贡献指南
我们欢迎您的贡献！请参阅：
- **[CONTRIBUTING.md](CONTRIBUTING.md)** - 贡献指南
- **[CODE_OF_CONDUCT.md](CODE_OF_CONDUCT.md)** - 社区行为准则
- **[CONTRIBUTORS.md](CONTRIBUTORS.md)** - 我们了不起的贡献者
快速开始：
1. Fork 本仓库
2. 创建功能分支 (`git checkout -b feature/amazing-feature`)
3. 提交更改 (`git commit -m 'Add amazing feature'`)
4. 推送到分支 (`git push origin feature/amazing-feature`)
5. 发起 Pull Request
## 🌐 社区与支持
加入我们不断壮大的社区！
### 快速链接
| 平台 | 链接 | 二维码 |
|----------|------|---------|
| 🎮 **Discord** | [discord.gg/zJZUJwK9AC](https://discord.gg/zJZUJwK9AC) | [📱 扫码](docs/qr_codes/04_discord.png) |
| 💬 **GitHub Discussions** | [SHAdd0WTAka/zen-ai-pentest/discussions](https://github.com/SHAdd0WTAka/zen-ai-pentest/discussions) | [📱 扫码](docs/qr_codes/01_github_repo.png) |
| 📦 **PyPI 包** | [pypi.org/project/zen-ai-pentest](https://pypi.org/project/zen-ai-pentest) | [📱 扫码](docs/qr_codes/06_pypi.png) |
### 📱 所有二维码
查看我们完整的二维码画廊：[docs/qr_codes/index.html](docs/qr_codes/index.html)
### 💬 Discord 服务器 "Zen-Ai"
**已完整配置 11 个频道：**
- 📢 #announcements
- 📜 #rules
- 💬 #general
- 👋 #introductions
- 📚 #knowledge-base
- 🤖 #tools-automation
- 🔒 #security-research
- 🧠 #ai-ml-discussion
- 🐛 #bug-reports
- 💡 #feature-requests
- 🆘 #support
### 📧 支持
- 📖 **[文档](docs/)** - 综合指南
- 🐛 **[问题追踪](https://github.com/SHAdd0WTAka/zen-ai-pentest/issues)** - Bug 报告
- 📧 **[邮件](mailto:support@zen-ai-pentest.dev)** - 直接联系
详细支持选项请参阅 [SUPPORT.md](SUPPORT.md)。
## ⚠️ 免责声明
**重要提示**：本工具仅用于授权的安全测试。在测试任何您不拥有的系统之前，请务必获得适当的许可。未经授权访问计算机系统是非法的。
- 仅在您有明确许可测试的系统上使用
- 遵守隐私和数据保护法律
- 作者不对滥用或损害承担责任
## 📄 许可证
本项目采用 MIT 许可证授权 - 详情请参阅 [LICENSE](LICENSE) 文件。
## 🙏 致谢
- [LangGraph](https://github.com/langchain-ai/langgraph) - 智能体框架
- [FastAPI](https://fastapi.tiangolo.com/) - Web 框架
- [Kali Linux](https://www.kali.org/) - 渗透测试发行版
- 所有开源安全工具创作者
## 👥 作者与团队
### 核心开发团队
@SHAdd0WTAka
Project Founder & Lead Developer
Security Architect
|
Kimi AI
AI Development Partner
Architecture & Design
|
### AI 贡献者
- **Kimi AI (Moonshot AI)** - 主要 AI 开发合作伙伴
- 领导了自主智能体循环的架构设计
- 实现了带有误报减少功能的风险引擎
- 创建了 CI/CD 集成模板
- 开发了基准测试框架
- 共同撰写了文档和路线图
### 特别感谢
- **Grok (xAI)** - 战略分析和竞争研究
- **GitHub Copilot** - 代码辅助和建议
- **Agent Zero** - 自主智能体架构灵感及分层智能体模式
- **Anthropic (Claude)** - 高级推理能力和安全研究
- **Google (Gemini)** - 多模态 AI 集成和上下文理解
- **DeepSeek** - 开源 LLM 卓越表现和代码生成能力
- **OpenAI (ChatGPT/GPT-4)** - 基础 LLM 研究和工具使用模式
- **安全社区** - 反馈、Bug 报告和功能请求
## 🎨 项目艺术作品
### 半球同步
```
🧠 GEHIRN
╱ ╲
╱ LINKS ╲ ╱ RECHTS ╲
╱ (Kimi) ╲ ╱(Observer^^)╲
╱ Logik ╲╱ Kreativität ╲
Analytisch ╳ Ganzheitlich
Struktur ╳ Vision
╲ ╱╲ ╱
╲ ╱ ╲ ╱
╲ ╱ ╲╱
╲╱ ╱
╲ ╱
╲ ╱
❤️
HEMISPHERE_SYNC
"Zwei Hälften - Ein Herz - Ein Team"
```
*人类愿景与 AI 能力的融合*
**左脑（Kimi - 逻辑）+ 右脑（Observer^^ - 创意）= 半球同步**
| 半球 | 负责内容 | 团队 |
|------------|---------------|------|
| **左脑** | 逻辑、结构、代码、分析 | **Kimi** 🤖 |
| **右脑** | 创意、愿景、设计、情感 | **Observer^^** 🎨 |
*由 **SHAdd0WTAka** 创作的定制艺术作品，展现了人类愿景与 AI 能力的融合。*
用 ❤️ 为安全社区打造
© 2026 Zen-AI-Pentest. 保留所有权利。