Diese KI scannt deine App nicht… sie bricht ein (Strix)

Deutschالعربية English Español Français हिन्दी Bahasa Indonesia 日本語 한국어 Português Русский 中文

Computing/SoftwareSmall Business/StartupsInternet Technology

Transcript

00:00:00Deine Tests bestehen, der Code ist sauber, du veröffentlichst und bist fertig.

00:00:04Dann passiert etwas mit deiner Datenbank durch einen Fehler, den du eigentlich nie hättest sehen sollen.

00:00:07Dieses Ding zeigt mir genau, wie der Einbruch passiert ist, und es ist kein einfacher Hack.

00:00:13Es ist Open Source, es ist kostenlos, es hat fast 38.000 Sterne auf GitHub,

00:00:17und dieses Ding hat einen Namen. Das ist Strix. Lass mich dir zeigen, was es tut, wo es scheitert.

00:00:27Also, was ist das? Strix startet ein Team von KI-Agenten, die sich wie Hacker verhalten,

00:00:32ähnlich wie bei einigen Penetration-Testing-Tools. Aber nicht nur ein Modell ratet, es ist eine ganze Crew.

00:00:37Ein Agent macht Aufklärung und kartiert deine App, ein anderer geht auf die OWASP Top 10 in deinen APIs los. SQL-

00:00:44Injection, Cross-Site Scripting, fehlerhafte Zugriffskontrolle, das Zeug, das tatsächlich veröffentlicht wird.

00:00:50Hier ist der Grund, warum das für uns wichtig ist, denn viele von uns haben kein Team und kein Budget

00:00:55für einen Pentest. Also ignorieren wir das Problem entweder oder lassen einen Scanner laufen, der dich

00:01:00mit einer Tonne an “Was-wäre-wenn”-Szenarien begräbt. Strix macht das nicht. Es sagt nicht, das könnte ausnutzbar sein.

00:01:06Es bricht ein, beweist es und gibt es dir als Pull Request. Jetzt lass mich das alles in Aktion zeigen.

00:01:12Alles klar, man würde erwarten, dass das Einrichten aufwendig ist, aber in der Realität ist es nur eine Zeile.

00:01:18Mit einem Curl-Befehl installiert man es, das ist alles. Hier ist eine FastAPI-App für

00:01:24Ausgaben, die ich gerade erstellt habe, und sie läuft auf diesem UI, wie du hier sehen kannst. Ich habe eine Ausgabe hinzugefügt,

00:01:30nämlich den Better Stack-Kanal abonnieren. Ich habe einen Cent eingegeben, aber in Wirklichkeit ist Abonnieren immer

00:01:35kostenlos. Und du lernst eine Menge aus unseren zahllosen Videos, die ständig erscheinen. Da wir jetzt

00:01:40Strix haben, kann ich diesen einen Befehl hier ausführen: strix target. Ich gebe meinen Codepfad in der

00:01:46Live-UI an, dann füge ich diesen Scan-Modus “quick” hinzu. Ich gebe Strix hier einfach ein Modell zur Verwendung. Ich benutze mein

00:01:52Anthropic API, aber es nimmt Claude, Gemini oder sogar ein stärkeres Ollama-Modell, wenn du es

00:01:58lokal halten willst. Dieser Befehl zielt auf meine Live-Site und mein Projekt zusammen ab. Ein Haken hier: Es zieht ein Docker-

00:02:04Sandbox beim ersten Lauf. Also muss Docker laufen. Die Sandbox lässt die Agenten tatsächlich agieren,

00:02:10ohne dass der Schaden deine Systeme trifft. Dann habe ich es auf eine kleine App gezeigt, meine App, die ich gebaut habe,

00:02:16ich habe etwas Authentifizierung und eine Datenbank hinzugefügt. Und das ist die eine Regel: Du führst dies nur auf etwas aus,

00:02:22für das du eine Testgenehmigung hast. Jetzt denkst du, es liefert die Ergebnisse sofort. Tut es nicht. Macht das irgendein

00:02:28Pentest-Tool? Ein Schnellscan hier hat etwa 10 Minuten gedauert. Alles klar, aber ich werde das für dich

00:02:33beschleunigen. Lass mich das kurz machen und mir in der Zwischenzeit einen Kaffee holen.

00:02:39Alles klar. Mit diesem Kaffee in der Hand können wir uns das jetzt ansehen. Nun, die meisten Tools sagen dir,

00:02:44dass deine Tür offen sein könnte. Strix hat den Endpunkt gefunden, einen funktionierenden Exploit geschrieben, ausgeführt, Daten herausgezogen

00:02:49und mir die genauen Schritte hier gegeben. Plus die Korrektur. Es hat mir gesagt, was falsch ist. Das ist alles, was ich

00:02:55von Strix zurückbekommen habe, nach einer kurzen Zeit im “quick mode”. Du könntest den “quick mode” ändern,

00:03:00aber das wird viel länger dauern und mehr Token verbrauchen. Wie unterscheidet sich das also von

00:03:05vielen anderen, die es bereits gibt? Ein manueller Pentest ist genau, aber langsam und teuer.

00:03:11Ein statischer Scanner ist schnell und billig, führt aber unseren Code nie wirklich aus, und andere KI-Tools existieren.

00:03:16Sie existieren, oder? Hier liegt der Punkt, an dem Strix ein wenig vorne liegt oder es ein wenig verändert.

00:03:21Die Agenten sprechen in Kettenangriffen miteinander. Alles ist in einer Sandbox und schließt die Schleife mit

00:03:27automatischen Fix-Pull-Requests. Beim XBEN-Exploitation-Benchmark erreicht es eine Lösungsquote von 96% in etwa 19 Minuten

00:03:34Herausforderung. Und das sind echte Einbruchsaufgaben, keine Multiple-Choice-Erkennung. Wie würde man das

00:03:40tatsächlich benutzen? Nun, es ist ein Befehlszeilen-Tool mit nativer GitHub-Actions-Unterstützung und es funktioniert bei Open-Source-

00:03:45Code und einer Live-App. Python-Skripte fügen sich direkt ein. Der beste Teil ist bei weitem die validierten Befunde.

00:03:52Jeder echte Fehler hier kommt mit einem funktionierenden Beweis. Also verschwindet dieser Haufen von 400 “Vielleicht”-Problemen.

00:03:59Der CI-Hook ist sauber. Er wird mit einem Fehlercode beendet, wenn er etwas findet. Also kannst du Strix starten,

00:04:05einen schlechten Merge blockieren, bevor er überhaupt landet. Also Open Source, Apache 2.0, bring dein eigenes Modell ohne Lock-in,

00:04:11und es ist stark bei APIs und Web-Apps, und es hat meistens standgehalten, aber es hat auch echte Grenzen. Es lehnt

00:04:17sich stark an das Modell an, das du ihm gibst. Du mietest im Grunde einen Hacker für eine Minute oder zwei oder solange

00:04:23wie das dauert. Ein schwaches lokales Modell liefert schwache Ergebnisse. Ein starkes kostet eine Menge Token. Plane 3,

00:04:30vielleicht 5 Dollar für einen schnellen Scan ein. Es hängt davon ab, wie groß dein Projekt ist. Tiefenscans sind langsam. Sie dauern Stunden,

00:04:36nicht Minuten, und Docker erhöht die Reibung. Und bei den wirklich komplizierten Sachen, komplexer Logik,

00:04:41langen Kettenangriffen, ist es noch nicht ganz soweit. Es ist ziemlich cool für Routine- und wiederholbare Prüfungen,

00:04:46aber vielleicht kein Ersatz für einen Menschen bei deinen tatsächlichen Systemen, je nachdem wie groß sie sind.

00:04:51Also führst du das tatsächlich aus? Ich meine, ja, könntest du. Wo ich es vielleicht einsetzen würde, sind Pre-Merge-

00:04:56Checks, Nebenprojekte, Staging, das Offensichtliche vor der Produktion abfangen. Integriere es in deine Pipeline,

00:05:02lass es auf echte Änderungen laufen und sieh, was passiert. Als einzige Verteidigung in einem kritischen System mit

00:05:08ein bisschen Setup, vielleicht nicht. Betrachte Sicherheit als Schichten, nicht als eine einzige Mauer. Strix ist eine starke

00:05:14Schicht. Validiertes Feedback in der CI, neben deinen existierenden Scannern für Abdeckung, und eine menschliche

00:05:20Überprüfung für die schwierigen Entscheidungen. Das ist nur eine Idee. Wenn es dir darum geht, sicheren Code schneller zu veröffentlichen,

00:05:26ist das ein ziemlich süßes Open-Source-Tool und es ist kostenlos auszuprobieren mit deinen eigenen Schlüsseln. Wenn dir Codierung-

00:05:31Tipps und Tricks wie diese gefallen, abonniere den BetterStack-Kanal. Wir sehen uns im nächsten Video.

Key Takeaway

Strix automatisiert Penetrationstests durch ein KI-Agenten-Team, das Sicherheitslücken in Webanwendungen nicht nur erkennt, sondern diese durch aktive Exploits in einer Sandbox beweist und direkte Fehlerbehebungen als Pull Requests bereitstellt.

Highlights

Strix nutzt ein Team von KI-Agenten, die wie Hacker agieren, um Schwachstellen wie SQL-Injection und Cross-Site Scripting in APIs automatisch zu identifizieren.
Das Tool führt aktive Angriffe in einer Docker-Sandbox durch und liefert bei erfolgreichem Eindringen einen validierten Exploit-Nachweis sowie einen Pull Request mit dem entsprechenden Fix.
Im XBEN-Exploitation-Benchmark erreicht das System eine Lösungsquote von 96 % innerhalb von etwa 19 Minuten pro Aufgabe.
Strix ist als Open-Source-Tool unter Apache 2.0 verfügbar und unterstützt gängige Modelle wie Claude, Gemini oder lokale Ollama-Instanzen.
Die Kosten für einen Scan betragen je nach Projektgröße etwa 3 bis 5 US-Dollar, da die Agenten Token für die Modellnutzung verbrauchen.
Das Tool lässt sich nativ in GitHub Actions integrieren, um fehlerhafte Code-Merges basierend auf validierten Sicherheitslücken automatisch zu blockieren.

Timeline

Funktionsweise und Ansatz von Strix

Mehrere spezialisierte KI-Agenten kartieren Anwendungen und testen diese gegen OWASP Top 10 Schwachstellen.
Das System unterscheidet sich von klassischen Scannern durch den Verzicht auf hypothetische Szenarien zugunsten tatsächlicher Exploits.
Ergebnisse werden inklusive eines funktionierenden Beweises und eines Korrekturvorschlags geliefert.

Strix fungiert als Team, in dem einzelne Agenten Aufgaben wie Aufklärung oder spezifische Angriffsmuster übernehmen. Anstatt Nutzer mit einer Flut an potenziellen Risiken zu konfrontieren, validiert die KI die Ausnutzbarkeit von Sicherheitslücken aktiv. Dies reduziert Fehlalarme und liefert verwertbare Ergebnisse direkt in Form von Code-Anpassungen.

Praktische Implementierung und Ausführung

Die Installation erfolgt über einen einzelnen Curl-Befehl und setzt eine laufende Docker-Umgebung voraus.
Ein typischer Schnellscan (Quick Mode) dauert etwa 10 Minuten und zielt auf Live-Umgebungen oder Codepfade ab.
Das Tool erfordert einen API-Schlüssel für Modelle wie Claude oder Gemini, unterstützt jedoch auch lokale Ollama-Instanzen.

Der Prozess erfordert lediglich die Angabe des Codepfads und eines Scan-Modus. Die Ausführung erfolgt in einer isolierten Docker-Sandbox, um Schäden an den produktiven Systemen zu verhindern. Nach Abschluss des Scans präsentiert Strix die gefundenen Sicherheitslücken detailliert, sofern der Prozess erfolgreich verlief.

Vergleich und Anwendungsgrenzen

Strix übertrifft statische Scanner durch die tatsächliche Code-Ausführung und schlägt manuelle Pentests in Bezug auf Geschwindigkeit und Kosten.
Komplexe Kettenangriffe und hochkomplexe Logik stoßen aktuell noch an die Grenzen der KI-Agenten.
Das Tool eignet sich ideal als zusätzliche Sicherheitsschicht in CI/CD-Pipelines, ersetzt jedoch keine umfassende menschliche Sicherheitsüberprüfung.

Während Strix effizient für Routineprüfungen und Pre-Merge-Checks ist, hängt die Qualität der Ergebnisse stark vom eingesetzten KI-Modell ab. Längere Scans verbrauchen signifikante Token-Mengen und können Stunden in Anspruch nehmen. Die Integration in bestehende Sicherheitsstrategien wird als eine von mehreren notwendigen Schichten empfohlen.

Community Posts

Write about this video