스크립트
00:00:00测试通过，代码整洁，你发布了版本，工作也就完成了。
00:00:04但之后，你的数据库因为一个你从未预见到的漏洞出了问题。
00:00:07这个东西能准确向我展示入侵是如何发生的，而且它不是什么黑客攻击。
00:00:13它是开源的，免费的，在 GitHub 上有近 38,000 颗星，
00:00:17它有一个名字，叫 Strix。让我给你展示一下它是做什么的，以及它在哪里会失效。
00:00:27那么这东西是什么？Strix 启动了一组 AI 代理，它们的行为就像黑客一样，
00:00:32类似于一些渗透测试工具。但不是只有一个模型在猜测，而是一个团队在操作。
00:00:37一个代理负责侦察并绘制你的应用地图，另一个代理则针对你 API 中的 OWASP 前 10 大漏洞进行攻击。比如
00:00:44SQL 注入、跨站脚本攻击、失效的访问控制，这些真正被发布到线上的东西。
00:00:50这就是它对我们重要的原因，因为我们很多人没有专门的团队，也没有大量的资源
00:00:55去进行渗透测试。所以我们要么忽略这个问题，要么运行一个扫描器，把你淹没在
00:01:00海量的“假设”中。Strix 不会那样。它不会说“这可能存在被利用的风险”。
00:01:06它直接入侵、证明漏洞，并将其作为一个拉取请求（Pull Request）交给你。现在让我演示一下它的实际操作。
00:01:12好了，你可能以为设置过程会很麻烦，但实际上只需要一行命令。通过一个 curl 命令即可完成安装，这就是安装方式。
00:01:18这是一个我刚刚为费用管理构建的 FastAPI 应用，它正在这个 UI 上运行，你可以在这里看到。
00:01:24我添加了一项费用，内容是订阅 Better Stack 频道。我输入了 1 美分，但实际上订阅总是
00:01:30免费的。而且你可以从我们不断发布的大量视频中学到很多东西。现在我们有了
00:01:35Strix，我可以运行这一条命令：Strix target。我把我的代码路径放在
00:01:40实时 UI 中，然后加上扫描模式为“快速”。我这里是给 Strix 指定了一个模型。
00:01:46我使用的是我的 Anthropic API，但它也支持 Claude、Gemini，甚至如果你想保持本地运行，也可以使用更强大的 Ollama 模型。
00:01:52这条命令同时针对我的实时网站和项目进行扫描。有一点要注意，它在第一次运行时会拉取一个 Docker
00:01:58沙箱环境。所以必须运行 Docker。沙箱允许代理在不影响你系统的情况下进行实际操作。
00:02:04然后我把它指向了一个小型应用，也就是我构建的那个应用，
00:02:10我给它封装了一些身份验证和数据库。这就是唯一规则：你只能在有权限测试的项目上运行它。
00:02:16你可能以为它会立即返回结果。它不会。有任何渗透测试工具能做到那样吗？
00:02:22这里的快速扫描大约花了 10 分钟。好吧，但我会为你加速这一过程。
00:02:28让我先处理这个，趁现在去喝杯咖啡。
00:02:33好的，喝着咖啡，我们现在来看看结果。
00:02:39大多数工具只会告诉你门可能没锁。Strix 找到了入口点，编写了可行的漏洞利用程序，运行了它，提取了数据，
00:02:44并在这里给了我确切的步骤。加上修复方案。它告诉了我哪里出了问题。这是我从 Strix 那里得到的全部内容。
00:02:49在快速模式下运行了一小会儿之后，你当然可以更改模式，但
00:02:55那样会花费更长时间，也会消耗更多 Token。那么它与现有的其他工具有什么不同呢？
00:03:00手动渗透测试很准确，但缓慢且昂贵。
00:03:05静态扫描器快速又廉价，但它们从不真正运行我们的代码，而且市面上也存在其他 AI 工具。
00:03:11它们确实存在，对吧？这就是 Strix 脱颖而出或带来改变的地方。
00:03:16代理之间会进行链式攻击交流。这一切都在沙箱中进行，并且通过自动修复的拉取请求闭环。
00:03:21在 XBEN 漏洞利用基准测试中，它在 19 分钟左右的挑战中达到了 96% 的解决率。
00:03:27那些都是真实的入侵任务，而不是选择题检测。你到底该如何使用它呢？
00:03:34它是一个命令行工具，原生支持 GitHub Actions，适用于开源代码和实时应用。
00:03:40Python 项目可以直接使用。现在，最棒的一点是验证后的发现结果。
00:03:45这里的每一个真实漏洞都附带了有效的证明。所以那堆“可能有 400 个问题”的报告就消失了。
00:03:52CI 钩子非常清晰。当它发现问题时，会退出并返回错误代码。所以你可以直接开始，
00:03:59在坏代码合并之前就阻断它。它是开源的 Apache 2.0 协议，支持自带模型，没有厂商锁定，
00:04:05在 API 和 Web 应用方面表现出色，但也确实存在局限性。它严重依赖于你提供的模型。
00:04:11你基本上是在租用一个黑客，时间取决于任务时长。
00:04:17较弱的本地模型会给出较弱的发现结果。而强大的模型则会消耗大量 Token。快速扫描预算大约在 3 到 5 美元。
00:04:23这取决于你的项目规模。深度扫描很慢，需要几个小时，而不是几分钟，而且 Docker 增加了复杂性。
00:04:30对于那些非常混乱的复杂逻辑和长链式攻击，它还不够完善。
00:04:36它非常适合常规的、可重复的检查，但可能无法完全取代人类，具体取决于你的系统规模。
00:04:41那你真的会运行它吗？我觉得，是的，你可以试试。我可能会在合并前的检查、
00:04:46个人项目、预发布环境中使用它，在投入生产之前捕获明显的漏洞。
00:04:51将其纳入你的流水线，让它在实际变更时运行，看看会发生什么。
00:04:56作为关键系统上的唯一防线，或许还有些欠缺。把安全看作层级，而不是单单一堵墙。
00:05:02Strix 是其中一个强有力的层级。在 CI 中提供经过验证的反馈，
00:05:08与你现有的扫描器并存，再加上人类的审核来处理疑难问题。这只是个建议。
00:05:14如果你关心如何更快速地发布安全代码，这是一个相当不错的开源工具，而且可以免费使用自己的 API Key 进行尝试。
00:05:20如果你喜欢这类编程小技巧，请务必订阅 BetterStack 频道。
00:05:26这是一个相当棒的开源工具，而且可以免费使用你自己的密钥进行尝试。如果你喜欢像这样的
00:05:31编程技巧与诀窍，请务必订阅 BetterStack 频道。我们下个视频见。