usestrix strix

好的，这是您要求的英文文章的中文翻译，已按照规范保留原文结构、代码块、技术术语，并输出为 Markdown 格式。

---

Strix 概述

Strix 是一款开源的人工智能渗透测试工具。它利用自主 AI 黑客来发现并修复您应用程序中的漏洞。

提示 新功能！ Strix 可与 GitHub Actions 和 CI/CD 管道无缝集成。能在每次拉取请求时自动扫描漏洞，并在不安全代码进入生产环境前将其拦截 - 无需任何设置即可开始使用。

Strix 是自主式 AI 渗透测试代理，其行为方式与真实黑客无异——它们会动态运行您的代码，发现漏洞，并通过实际的概念验证来验证这些漏洞。专为需要快速、准确的安全测试，但又不想承担手动渗透测试开销或静态分析工具误报的开发者和安全团队而构建。

关键能力：

• 完整的渗透测试工具包 - 开箱即用地支持侦察、利用和验证
• 多代理编排 - 由 AI 渗透测试人员组成的团队，能够协作并扩展
• 真实的漏洞利用验证 - 可工作的 PoC，而非传统漏洞扫描器的误报
• 开发者优先的 CLI - 提供可操作的结果及修复指导
• 自动修复与报告 - 生成补丁和符合合规要求的渗透测试报告

使用场景

• 应用程序安全测试 - 检测并验证您应用程序中的关键漏洞
• 快速渗透测试 - 在数小时内（而非数周）完成渗透测试并生成合规报告
• 漏洞赏金自动化 - 自动化漏洞赏金研究并生成 PoC，以加快报告速度
• CI/CD 集成 - 在 CI/CD 中运行测试，在漏洞进入生产环境前将其阻止

🚀 快速开始

前提条件：

• Docker（正在运行）
• 来自任何受支持提供商（OpenAI、Anthropic、Google 等）的 LLM API 密钥

安装与首次扫描

# 安装 Strix
curl -sSL https://strix.ai/install | bash

# 配置您的 AI 提供商
export STRIX_LLM="openai/gpt-5.4"
export LLM_API_KEY="your-api-key"

# 运行您的首次安全评估
strix --target ./app-directory

注意 首次运行时会自动拉取沙箱 Docker 镜像。结果将保存到 strix_runs/ 目录。

☁️ Strix 平台

在 app.strix.ai 上体验 Strix 全栈渗透测试平台 - 免费注册，连接您的仓库和域名，几分钟内即可启动一次渗透测试。

• 带有 PoC 的已验证发现 - 每个漏洞都包含一个可工作的概念验证利用和复现步骤
• 一键自动修复 - AI 生成的安全补丁，可作为可合并的拉取请求
• 持续渗透测试 - 始终在线的漏洞扫描，与您的部署节奏保持同步
• DevSecOps 集成 - GitHub、GitLab、Bitbucket、Slack、Jira、Linear 和 CI/CD 管道
• 持续学习 - AI 会基于过往发现进行学习，适应您的代码库，并随时间推移减少误报

开始您的首次渗透测试 →

✨ 功能特性

代理渗透测试工具

Strix 代理配备了一套全面的攻击性安全工具包——与专业渗透测试人员和道德黑客使用的工具相同：

• HTTP 拦截代理 - 使用 Caido 进行完整的请求/响应操作和分析
• 浏览器利用 - 自动化浏览器，用于测试 XSS、CSRF、点击劫持和认证绕过流程
• Shell 与命令执行 - 用于漏洞利用开发和后利用的交互式终端
• 自定义漏洞利用运行时 - 用于编写和验证概念验证漏洞利用的 Python 沙箱
• 侦察与 OSINT - 自动化攻击面映射、子域名枚举和指纹识别
• 静态与动态代码分析 - 结合 SAST 和 DAST 能力，实现全面的应用程序安全测试
• 漏洞知识库 - 带有 CVSS 评分和 OWASP 分类的结构化发现结果

全面的漏洞扫描器

Strix 能够识别、验证并利用 OWASP Top 10 及更广泛范围内的各种安全漏洞：

• 访问控制失效 - IDOR、权限提升、认证绕过
• 注入攻击 - SQL 注入、NoSQL 注入、OS 命令注入、SSTI
• 服务端漏洞 - SSRF、XXE、不安全的反序列化、RCE
• 客户端攻击 - XSS（存储型/反射型/DOM 型）、原型污染、CSRF
• 业务逻辑缺陷 - 竞态条件、支付篡改、工作流绕过
• 认证与会话 - JWT 攻击、会话固定、凭证填充向量
• 基础设施与云 - 配置错误、暴露的服务、云安全问题
• API 安全 - 认证失效、批量赋值、速率限制绕过

代理图（多代理渗透测试）

先进的多代理编排，实现全面的自动化渗透测试：

• 分布式渗透测试 - 专门用于侦察、利用和后利用的 AI 代理
• 可扩展的安全测试 - 跨多个目标并行执行，实现快速、全面的覆盖
• 动态协调 - 代理之间共享发现、链接漏洞，像红队一样协作

使用示例

基本用法

# 扫描本地代码库
strix --target ./app-directory

# 对 GitHub 仓库进行安全审查
strix --target https://github.com/org/repo

# 黑盒 Web 应用程序评估
strix --target https://your-app.com

高级测试场景

# 灰盒认证测试
strix --target https://your-app.com --instruction "Perform authenticated testing using credentials: user:pass"

# 多目标测试（源代码 + 已部署应用）
strix -t https://github.com/org/app -t https://your-app.com

# 白盒源代码感知扫描（本地仓库）
strix --target ./app-directory --scan-mode standard

# 带自定义指令的聚焦测试
strix --target api.your-app.com --instruction "Focus on business logic flaws and IDOR vulnerabilities"

# 通过文件提供详细指令（例如，交战规则、范围、排除项）
strix --target api.your-app.com --instruction-file ./instruction.md

# 强制 PR diff 范围，针对特定基础分支
strix -n --target ./ --scan-mode quick --scope-mode diff --diff-base origin/main

无头模式

使用 -n/--non-interactive 标志以编程方式运行 Strix，无需交互式 UI - 非常适合服务器和自动化任务。CLI 优先...