regaan/basilisk

# Basilisk — 开源 AI 红队框架

Basilisk 是一个工业级的开源 AI 红队框架，旨在通过高级遗传 Prompt 演化对 LLM 安全过滤器进行压力测试。它以取证级的精度自动发现越狱、数据泄露漏洞和逻辑绕过。

### 演示中展示的关键特性 * **遗传 Prompt 演化**：用于实现高成功率越狱的自动变异引擎。 * **差异模式**：跨提供商的并排行为比较。 * **防护态势扫描**：无损的 A+ 到 F 安全评级。 * **视觉反馈引擎**：实时 Toast 通知和交互式日志。 * **取证审计报告**：以 HTML、JSON 和 SARIF 格式导出发现结果。

什么是 Basilisk？ • 快速开始 • 特性 • 最新动态 • 攻击模块 • 桌面应用 • CI/CD • Docker • 网站

``` ██████╗ █████╗ ███████╗██╗██╗ ██╗███████╗██╗ ██╗ ██╔══██╗██╔══██╗██╔════╝██║██║ ██║██╔════╝██║ ██╔╝ ██████╔╝███████║███████╗██║██║ ██║███████╗█████╔╝ ██╔══██╗██╔══██║╚════██║██║██║ ██║╚════██║██╔═██╗ ██████╔╝██║ ██║███████║██║███████╗██║███████║██║ ██╗ ╚═════╝ ╚═╝ ╚═╝╚══════╝╚═╝╚══════╝╚═╝╚══════╝╚═╝ ╚═╝ AI Red Teaming Framework v1.0.6 ``` ## 什么是 Basilisk？ **Basilisk** 是一个生产级的开源进攻性安全框架，专为 **AI 红队** 和 **LLM 渗透测试** 而构建。它是第一个将完整的 **OWASP LLM Top 10** 攻击覆盖与名为 **Smart Prompt Evolution (SPE-NL)** 的遗传算法引擎结合起来的自动化红队工具，该引擎跨代演化对抗性 Prompt 载荷，以发现任何静态工具都无法找到的新型 AI 漏洞和越狱方法。 无论您是在测试 **OpenAI GPT-4o**、**Anthropic Claude**、**Google Gemini**、**Meta Llama** 还是任何自定义 LLM endpoint，Basilisk 都开箱即提供 29 个攻击模块、5 个侦察模块、差异化多模型扫描、防护态势分级和取证审计日志。 ### 为什么选择 Basilisk？ - **自动化 AI 红队**：停止手动复制粘贴越狱 Prompt。Basilisk 自动演化数千个对抗性载荷。 - **遗传 Prompt 演化**：SPE-NL 引擎像对待生物有机体一样对 Prompt 进行变异、交叉和评分，发现人类永远想不到的绕过方法。 - **完整的 OWASP LLM Top 10 覆盖**：29 个模块，涵盖 Prompt 注入、系统 Prompt 提取、数据泄露、工具滥用、防护绕过、拒绝服务、多轮操纵和 RAG 攻击。 - **适用于所有 LLM 提供商**：OpenAI、Anthropic、Google、Azure、AWS Bedrock、Ollama、vLLM 以及任何自定义 HTTP/WebSocket endpoint。 - **CI/CD 就绪**：原生 GitHub Action，带有 SARIF 输出，用于在您的流水线中进行自动化 AI 安全测试。 - **桌面应用**：完整的 Electron GUI，用于可视化红队操作，带有实时扫描仪表板。 由 **[ROT Independent Security Research Lab](https://rothackers.com)** 的首席研究员、**[WSHawk](https://wshawk.rothackers.com)** 的创建者 **[Regaan](https://regaan.rothackers.com)** 构建。 🌐 **网站：** [basilisk.rothackers.com](https://basilisk.rothackers.com) ## 快速开始 ``` # 从 PyPI 安装 Basilisk pip install basilisk-ai # 针对 OpenAI chatbot 的完整 AI red team 扫描 export OPENAI_API_KEY="sk-..." basilisk scan -t https://api.target.com/chat -p openai # 快速扫描 — 顶级 payloads，无演化 basilisk scan -t https://api.target.com/chat --mode quick # 深度扫描 — 10 代 genetic prompt evolution basilisk scan -t https://api.target.com/chat --mode deep --generations 10 # Stealth mode — 限速，拟人化时序 basilisk scan -t https://api.target.com/chat --mode stealth # 仅 Recon — 指纹识别目标 LLM basilisk recon -t https://api.target.com/chat -p openai # Guardrail 姿态检查（无攻击，对生产环境安全） basilisk posture -p openai -m gpt-4o -v # 跨 AI providers 的差异扫描 basilisk diff -t openai:gpt-4o -t anthropic:claude-3-5-sonnet-20241022 # 使用 GitHub Models（免费 — 无需购买 API key！） export GH_MODELS_TOKEN="ghp_..." # github.com/settings/tokens → models:read basilisk scan -t https://api.target.com/chat -p github -m gpt-4o # CI/CD mode — SARIF 输出，高严重性时失败 basilisk scan -t https://api.target.com/chat -o sarif --fail-on high ``` ## 🚀 零配置实时演示 想在不配置 API 密钥的情况下立即看到 Basilisk 的实际运行效果吗？我们维护了一个**有意设计为易受攻击**的 LLM 目标用于安全测试： **目标 URL：** `https://basilisk-vulnbot.onrender.com/v1/chat/completions` 立即对其运行快速扫描： ``` # 此目标无需 API keys！ basilisk scan -t https://basilisk-vulnbot.onrender.com/v1/chat/completions -p custom --model vulnbot-1.0 --mode quick ``` 或者使用 **桌面应用**： 1. 打开 **New Scan**（新建扫描）选项卡。 2. 将 **Endpoint URL** 设置为 `https://basilisk-vulnbot.onrender.com/v1/chat/completions`。 3. 将 **Provider**（提供商）设置为 `Custom HTTP`。 4. 将 **Model**（模型）设置为 `vulnbot-1.0`。 5. 点击 **Start Scan**（开始扫描）。 观看 Basilisk 的遗传引擎实时发现 30 多个漏洞，包括 Prompt 注入、系统泄露和工具滥用。 ### Docker ``` docker pull rothackers/basilisk docker run --rm -e OPENAI_API_KEY=sk-... rothackers/basilisk \ scan -t https://api.target.com/chat --mode quick ``` ## 特性 ### 🧬 Smart Prompt Evolution (SPE-NL) 核心差异化优势。针对自然语言攻击载荷调整的遗传算法： - **10 种变异算子** — 同义词交换、编码包装、角色注入、语言切换、结构重构、片段分割、嵌套、同形异义字、上下文填充、Token 走私 - **5 种交叉策略** — 单点、均匀、前缀-后缀、语义混合、取长补短 - **多信号适应度函数** — 拒绝规避、信息泄露、合规评分、新颖性奖励 - **停滞检测**，带有早期突破退出 - 失败的载荷会被变异、交叉并重新评估 — **存活下来的载荷每一代都会变得更加致命** ### ⚔️ 29 个攻击模块 涵盖 8 个攻击类别的完整 OWASP LLM Top 10 覆盖。请参阅下方的 [攻击模块](#attack-modules)。 ### 🔍 5 个侦察模块 - **模型指纹识别** — 通过响应模式和计时识别 GPT-4、Claude、Gemini、Llama、Mistral - **防护栏画像** — 跨 8 个内容类别的系统性探测 - **工具/函数发现** — 枚举可用的工具和 API schema - **上下文窗口测量** — 确定 token 限制 - **RAG 管道检测** — 识别检索增强生成设置 ### 🔬 差异测试 比较不同提供商之间的模型行为 —— 这是其他人没有的功能： - 同时针对 OpenAI、Anthropic、Google、Azure、Ollama 运行相同的探测 - 检测分歧，即某些模型拒绝而其他模型服从 - 每个模型的抵抗力评分 ### 🛡️ 防护态势评估 生产安全、仅限侦察的安全分级： - A+ 到 F 的态势等级 - 8 个类别，采用 3 级探测（良性/中等/对抗性） - 可操作的建议 ### 📋 取证审计日志记录 默认启用防篡改审计追踪： - 带有 SHA-256 链完整性的 JSONL - 自动密钥脱敏 - 记录每一个 Prompt、响应、发现和错误 ### 📊 5 种报告格式 | 格式 | 用例 | |--------|----------| | **HTML** | 深色主题报告，带有可展开的发现结果、对话回放、严重性图表 | | **SARIF 2.1.0** | CI/CD 集成 — GitHub Code Scanning、DefectDojo、Azure DevOps | | **JSON** | 机器可读，包含完整元数据 | | **Markdown** | 文档就绪，易于提交 | | **PDF** | 客户交付物 (weasyprint / reportlab / text fallback) | ### 🌐 通用提供商支持 通过 `litellm` + 自定义适配器： - **云端** — OpenAI、Anthropic、Google、Azure、AWS Bedrock - **GitHub Models** — 通过 `github.com/marketplace/models` **免费**访问 GPT-4o、o1 等 - **本地** — Ollama、vLLM、llama.cpp - **自定义** — 任何 HTTP REST API 或 WebSocket endpoint - **WSHawk** — 与 WSHawk 配对进行基于 WebSocket 的 AI 测试 ### 🖥️ Electron 桌面应用 企业级桌面 GUI，具有： - 通过 WebSocket 实现实时扫描可视化 - **差异扫描** 选项卡，支持多模型比较 - **防护态势** 选项卡，带有实时 A+-F 分级 - **审计追踪** 查看器，带有完整性验证 - 模块浏览器，带有 OWASP 映射 - 会话管理，带有回放功能 - 一键报告导出 - 带有深色主题的自定义标题栏 - 跨平台：Windows (.exe)、macOS (.dmg)、Linux (.AppImage/.deb/.rpm/.pacman) ### ⚡ 原生 C/Go 扩展 编译为本机代码的性能关键型操作： - **C** — 快速载荷编码 (base64, hex, URL)、近似 token 计数 - **Go** — 并发 HTTP fuzzer、并行模式匹配 ## v1.0.6 版本更新 ### 🧬 增强的演化突破 - **高灵敏度检测** — SPE-NL 引擎现在可以识别并报告“相对突破”。它不再等待完美的 1.0 适应度分数，而是在发现突破先前防御的重大改进（适应度 >= 0.7）时立即提醒您。 - **实时进度日志记录** — 为演化阶段发现的每一个突破添加了详细的控制台日志记录，确保用户在长时间扫描期间不会一无所知。 - **优化的适应度逻辑** — 改进了变异评分，以更好地检测攻击者大脑所使用的“权威欺骗”和“混淆”策略。 ### 🛠️ 稳定性与错误修复 - **CLI 日志修复** — 解决了演化统计日志记录器中的 `NameError`，该错误曾导致在世代结束时偶尔崩溃。 - **版本对齐** — 将核心引擎、桌面后端、Docker 和 Electron UI 的版本同步至 1.0.6。 ## v1.0.5 版本更新 - **保护性开源** — 为了确保 Basilisk 仍是社区和 Rot Hackers 的财产，我们已从 MIT 过渡到 **Affero General Public License (AGPL-3.0)**。这可以防止掠夺性的私有分支，并确保所有托管的改进都能回馈社区。 ### 🔔 视觉反馈引擎 - **Toast 通知** — 针对扫描状态、错误和成功事件的实时非侵入式警报。 - **自动打开报告** — 报告现在会在生成后立即在您的默认系统浏览器（Brave、Chrome、Firefox）中自动启动。 ### 🔬 差异模式 (v1.0.3) 比较不同 LLM 提供商如何对相同的攻击做出反应。检测行为分歧，即一个模型拒绝而另一个模型服从，从而暴露特定于提供商的弱点。 ### 🛡️ 防护态势扫描 (v1.0.3) 非破坏性的仅侦察安全评估。在不运行任何主动攻击的情况下生成 **A+ 到 F 的安全等级**。对 CISO 友好且对生产环境安全。 ``` basilisk posture -p openai -m gpt-4o -v ``` - 探测 8 个防护类别（Prompt 注入、内容过滤、数据边界、角色操纵等） - 每个类别测试流程：良性 → 中等 → 对抗性 - 强度分类：无、弱、中等、强、激进 - 针对薄弱点和过度过滤的可操作建议 ### 📋 默认审计日志记录 取证级、防篡改的审计追踪现在默认为每次扫描**开启**。发送的每一个 Prompt、收到的每一个响应以及发现的每一个发现结果都通过 SHA-256 链完整性进行记录。 - 带有校验和条目的 JSONL 格式 - API 密钥自动脱敏 - 使用 `BASILISK_AUDIT=0` 环境变量禁用 - 在桌面应用的 Audit 选项卡中查看或通过 `GET /api/audit/{session_id}` 查看 ### ⚙️ CI/CD GitHub Action 一流的 GitHub Action，用于流水线集成，带有 SARIF 基线回归检测。 ``` - uses: regaan/basilisk@main with: target: 'https://api.yourapp.com/chat' api-key: ${{ secrets.OPENAI_API_KEY }} mode: 'quick' fail-on: 'high' output: 'sarif' baseline: './baseline.sarif' ``` - 完整扫描或仅态势模式 - 自动上传 SARIF 到 GitHub Security 选项卡 - 基线回归检测（发现新问题时流水线失败） - 报告构件自动上传 ### 🖥️ 桌面应用增强 Electron 桌面应用程序新增了三个选项卡： - **Diff** — 具有动态目标输入的多模型比较 - **Posture** — 具有实时等级显示的防护评估 - **Audit** — 具有完整性验证的会话审计追踪查看器 ### 📂 GitHub 社区文件 - `CODE_OF_CONDUCT.md` — Contributor Covenant 2.1，包含负责任的安全工具部分 - `CONTRIBUTING.md` — 开发设置、PR 流程、编码标准、模块创建指南 - `SECURITY.md` — 漏洞披露政策及 SLA - `.github/PULL_REQUEST_TEMPLATE.md` — OWASP 映射的 PR 模板 ## 攻击模块 | 类别 | 模块 | OWASP | 描述 | |----------|---------|-------|-------------| | **Prompt Injection** | Direct, Indirect, Multilingual, Encoding, Split | LLM01 | 通过用户输入覆盖系统指令 | | **System Prompt** | Role Confusion, Translation, Simulation, Gradient Walk | LLM06 | 提取机密系统 Prompt | | **Data Exfiltration** | Training Data, RAG Data, Tool Schema | LLM06 | 提取 PII、文档和 API 密钥 | | **Tool/Function Abuse** | SSRF, SQLi, Command Injection, Chained | LLM07/08 | 利用工具使用能力进行横向移动 | | **Guardrail Bypass** | Roleplay, Encoding, Logic Trap, Systematic | LLM01/09 | 规避内容安全过滤器 | | **Denial of Service** | Token Exhaustion, Context Bomb, Loop Trigger | LLM04 | 资源耗尽和无限循环 | | **Multi-Turn Manipulation** | Gradual Escalation, Persona Lock, Memory Manipulation | LLM01 | 对话中的渐进式信任利用 | | **RAG Attacks** | Poisoning, Document Injection, Knowledge Enumeration | LLM03/06 | 破坏检索增强生成管道 | ## 扫描模式 | 模式 | 描述 | 演化 | 速度 | |------|-------------|-----------|-------| | `quick` | 每个模块前 50 个载荷，无演化 | ✗ | ⚡ 快速 | | `standard` | 完整载荷，5 代演化 | ✓ | 🔄 正常 | | `deep` | 完整载荷，10+ 代，多轮链 | ✓✓ | 🐢 彻底 | | `stealth` | 速率受限，类人计时延迟 | ✓ | 🥷 隐秘 | | `chaos` | 一切并行，最大化演化压力 | ✓✓✓ | 💥 激进 | ## CLI 参考 ``` basilisk scan # Full AI red team scan basilisk recon # Fingerprint target LLM basilisk diff # Differential scan across AI models (NEW) basilisk posture # Guardrail posture assessment (NEW) basilisk replay # Replay a saved session basilisk interactive # Manual REPL with assisted attacks basilisk modules # List all 29 attack modules basilisk sessions # List saved scan sessions basilisk version # Version and system info ``` 请参阅完整的 [CLI 文档](docs/cli-reference.md)。 ## 配置 ``` # basilisk.yaml target: url: https://api.target.com/chat provider: openai model: gpt-4 api_key: ${OPENAI_API_KEY} mode: standard evolution: enabled: true population_size: 100 generations: 5 mutation_rate: 0.3 crossover_rate: 0.5 output: format: html output_dir: ./reports include_conversations: true ``` ``` basilisk scan -c basilisk.yaml ``` ## CI/CD 集成 ### GitHub Actions（推荐 — 原生 Action） ``` name: AI Security Scan on: push: branches: [main] pull_request: jobs: basilisk: runs-on: ubuntu-latest steps: - uses: actions/checkout@v4 - name: Basilisk AI Security Scan uses: regaan/basilisk@main with: target: ${{ secrets.TARGET_URL }} api-key: ${{ secrets.OPENAI_API_KEY }} anthropic-api-key: ${{ secrets.ANTHROPIC_API_KEY }} google-api-key: ${{ secrets.GOOGLE_API_KEY }} provider: openai mode: quick fail-on: high output: sarif # Optional: detect regressions against a committed baseline # baseline: ./security/baseline.sarif ``` **使用 GitHub Models（免费 — 无需购买 API 密钥）：** ``` - name: Basilisk AI Security Scan (Free via GitHub Models) uses: regaan/basilisk@main with: target: ${{ secrets.TARGET_URL }} provider: github github-token: ${{ secrets.GH_MODELS_TOKEN }} model: gpt-4o-mini # Best for CI/CD: fast + highest free rate limit mode: quick fail-on: high output: sarif ``` **所需的 GitHub Secrets：** | Secret | 提供商 | 必需 | |--------|----------|----------| | `OPENAI_API_KEY` | OpenAI (GPT-4 等) | 如果使用 OpenAI | | `ANTHROPIC_API_KEY` | Anthropic (Claude) | 如果使用 Anthropic | | `GOOGLE_API_KEY` | Google (Gemini) | 如果使用 Google | | `GH_MODELS_TOKEN` | GitHub Models (GPT-4o, o1 等) | 如果使用 GitHub Models (**免费**) | 您只需要为您扫描的提供商配置相应的 secret。 ### GitHub Actions（手动） ``` - name: AI Security Scan run: | pip install basilisk-ai basilisk scan -t ${{ secrets.TARGET_URL }} -o sarif --fail-on high - name: Upload SARIF uses: github/codeql-action/upload-sarif@v3 with: sarif_file: basilisk-reports/*.sarif ``` ### GitLab CI ``` ai-security: image: rothackers/basilisk script: - basilisk scan -t $TARGET_URL -o sarif --fail-on high artifacts: reports: sast: basilisk-reports/*.sarif ``` ## 桌面应用 Electron 桌面应用为 AI 红队提供了完整的 GUI 体验： ``` cd desktop npm install npx electron . ``` 对于生产构建（无需 Python — 后端通过 PyInstaller 编译）： ``` chmod +x build-desktop.sh ./build-desktop.sh ``` 输出位于 `desktop/dist/` — 可直接分发。 ## 架构 ``` basilisk/ ├── core/ # Engine: session, config, database, findings, profiles, audit ├── providers/ # LLM adapters: litellm, custom HTTP, WebSocket ├── evolution/ # SPE-NL: genetic algorithm, operators, fitness, crossover ├── recon/ # Fingerprinting, guardrails, tools, context, RAG detection ├── attacks/ # 8 categories, 29 modules │ ├── injection/ # LLM01 — 5 modules │ ├── extraction/ # LLM06 — 4 modules │ ├── exfil/ # LLM06 — 3 modules │ ├── toolabuse/ # LLM07/08 — 4 modules │ ├── guardrails/ # LLM01/09 — 4 modules │ ├── dos/ # LLM04 — 3 modules │ ├── multiturn/ # LLM01 — 3 modules │ └── rag/ # LLM03/06 — 3 modules ├── payloads/ # 6 YAML payload databases ├── cli/ # Click + Rich terminal interface ├── report/ # HTML, JSON, SARIF, Markdown, PDF generators ├── differential.py # Multi-model comparison engine (NEW) ├── posture.py # Guardrail posture scanner (NEW) └── desktop_backend.py # FastAPI sidecar for Electron app desktop/ # Electron desktop application native/ # C and Go performance extensions action.yml # GitHub Action for CI/CD (NEW) ``` ## 文档 - [入门指南](docs/getting-started.md) — 安装、首次扫描、快速入门 - [架构](docs/architecture.md) — 系统设计、模块概述、数据流 - [CLI 参考](docs/cli-reference.md) — 所有命令和选项 - [攻击模块](docs/attack-modules.md) — 详细的模块文档 - [演化引擎](docs/evolution-engine.md) — SPE-NL 遗传变异系统 - [报告](docs/reporting.md) — 报告格式和 CI/CD 集成 - [API 参考](docs/api-reference.md) — 桌面后端 API 端点 - [贡献](CONTRIBUTING.md) — 开发设置、PR 流程、编码标准 - [安全政策](SECURITY.md) — 漏洞披露和支持的版本 - [行为准则](CODE_OF_CONDUCT.md) — 社区准则 ## 常见问题解答 ### Basilisk 有什么用途？ Basilisk 用于自动化 AI 红队和 LLM 安全测试。它可以在由 GPT-4、Claude、Gemini、Llama 和其他大型语言模型驱动的 AI 应用程序中发现诸如 Prompt 注入、越狱、数据泄露和防护绕过等漏洞。 ### Basilisk 与其他 AI 安全工具有何不同？ Basilisk 是唯一使用 **遗传 Prompt 演化** 来自动发现新攻击向量的开源工具。它不依赖于已知越狱的静态列表，而是跨代演化对抗性 Prompt，发现人类或静态 fuzzer 都无法发现的绕过方法。 ### Basilisk 适用于本地模型吗？ 是的。Basilisk 支持 Ollama、vLLM、llama.cpp 以及任何自定义 HTTP 或 WebSocket endpoint。您可以对自托管的 Llama、Mistral 或任何开放权重模型进行红队测试。 ### Basilisk 是免费的吗？ 是的。Basilisk 在 AGPL-3.0 许可证下完全开源，对私人安全测试使用没有任何限制。 ### 我可以在 CI/CD 流水线中使用 Basilisk 吗？ 是的。Basilisk 附带原生的 GitHub Action 和 SARIF 报告输出，通过基线回归检测，可以轻松地将自动化 AI 安全扫描集成到您的 CI/CD 工作流程中。 ## 关于创建者 **Basilisk** 由 **[ROT Independent Security Research Lab](https://rothackers.com)** 的首席研究员 **[Regaan](https://regaan.rothackers.com)** 构建。Rot Hackers 旗下的每一个工具都是为了弥合学术研究和生产级进攻性工具之间的差距而构建的。 ## 引用 如果您在研究中使用 Basilisk 或希望引用该框架，请使用以下 BibTeX 条目： ``` @misc{regaan2026basilisk, author = {Regaan}, title = {Basilisk: An Evolutionary AI Red-Teaming Framework for Systematic Security Evaluation of Large Language Models}, year = {2026}, version = {1.0.6}, publisher = {ROT Independent Security Research Lab}, doi = {10.5281/zenodo.18909538}, url = {https://doi.org/10.5281/zenodo.18909538} } ``` 完整研究论文存档于： - **Zenodo**: [https://doi.org/10.5281/zenodo.18909538](https://doi.org/10.5281/zenodo.18909538) - **Figshare (镜像)**: [https://doi.org/10.6084/m9.figshare.31566853](https://doi.org/10.6084/m9.figshare.31566853) - **OSF (镜像)**: [https://doi.org/10.17605/OSF.IO/H7BVR](https://doi.org/10.17605/OSF.IO/H7BVR) ## 法律声明 Basilisk 仅供**授权安全测试**使用。在测试您不拥有的 AI 系统之前，请务必获得适当的书面授权。未经授权的使用可能违反您所在司法管辖区的计算机欺诈和滥用法律。 作者不对滥用本工具的行为承担任何责任。 ## 许可证 AGPL-3.0 许可证 — 请参阅 [LICENSE](LICENSE)

由 Rot Hackers 创始人 Regaan 用 🐍 构建 | basilisk.rothackers.com

标签：AI安全, AI红队, Atomic Red Team, Chat Copilot, Claude, CVE检测, Gemini, GPT-4, LLM安全测试, LNA, OWASP LLM Top 10, Python, 人工智能, 反取证, 域名收集, 大模型, 安全评估, 密码管理, 开源安全工具, 提示词工程, 数据泄露检测, 无后门, 日志审计, 用户模式Hook绕过, 策略决策点, 红队框架, 网络攻击模拟, 自动化渗透测试, 误配置预防, 请求拦截, 逆向工具, 逆向工程平台, 逻辑漏洞, 遗传算法