[!TIP] Neu! Strix lässt sich nahtlos in GitHub Actions und CI/CD-Pipelines integrieren. Scanne bei jedem Pull-Request automatisch nach Schwachstellen und blockiere unsicheren Code, bevor er in Produktion geht – Jetzt ohne Einrichtung starten.

Strix-Übersicht

Strix sind autonome KI-Penetrationstest-Agenten, die sich genau wie echte Hacker verhalten – sie führen deinen Code dynamisch aus, finden Schwachstellen und validieren sie anhand echter Proofs-of-Concept. Entwickelt für Entwickler und Sicherheitsteams, die schnelle, präzise Sicherheitstests benötigen – ohne den Aufwand manueller Pentests oder die False Positives statischer Analysetools.

Kernfunktionen:

• Vollständiges Pentesting-Toolkit – Reconnaissance, Exploitation und Validierung sofort einsatzbereit
• Multi-Agent-Orchestrierung – Teams aus KI-Pentestern, die zusammenarbeiten und skalieren
• Echte Exploit-Validierung – funktionierende PoCs statt False Positives wie bei herkömmlichen Schwachstellenscannern
• Developer-first-CLI – umsetzbare Ergebnisse mit Behebungsempfehlungen
• Automatische Behebung & Berichte – generiert Patches und compliance-fähige Pentest-Berichte

Anwendungsfälle

• Application Security Testing – Kritische Schwachstellen in deinen Anwendungen erkennen und validieren
• Schnelles Penetration Testing – Penetrationstests in Stunden statt Wochen, inklusive Compliance-Berichten
• Bug-Bounty-Automatisierung – Bug-Bounty-Recherche automatisieren und PoCs für schnellere Berichte generieren
• CI/CD-Integration – Tests in CI/CD ausführen, um Schwachstellen vor der Produktion zu blockieren

🚀 Schnellstart

Voraussetzungen:

• Docker (läuft)
• Ein LLM-API-Schlüssel von einem beliebigen unterstützten Anbieter (OpenAI, Anthropic, Google usw.)

Installation & erster Scan

# Install Strix
curl -sSL https://strix.ai/install | bash

# Configure your AI provider
export STRIX_LLM="openai/gpt-5.4"
export LLM_API_KEY="your-api-key"

# Run your first security assessment
strix --target ./app-directory

[!NOTE] Beim ersten Start wird das Sandbox-Docker-Image automatisch heruntergeladen. Die Ergebnisse werden unter strix_runs/<run-name> gespeichert.

☁️ Strix-Plattform

Teste die Full-Stack-Penetrationstest-Plattform von Strix unter app.strix.ai – melde dich kostenlos an, verbinde deine Repos und Domains und starte in wenigen Minuten einen Pentest.

• Validierte Ergebnisse mit PoCs – jede Schwachstelle enthält einen funktionierenden Proof-of-Concept-Exploit und Reproduktionsschritte
• Autofix mit einem Klick – KI-generierte Sicherheits-Patches als merge-bereite Pull-Requests
• Kontinuierliches Pentesting – permanent laufendes Schwachstellen-Scanning, das mit deinen Deployments Schritt hält
• DevSecOps-Integrationen – GitHub, GitLab, Bitbucket, Slack, Jira, Linear und CI/CD-Pipelines
• Kontinuierliches Lernen – KI, die auf früheren Ergebnissen aufbaut, sich an deine Codebasis anpasst und False Positives im Laufe der Zeit reduziert

Starte deinen ersten Pentest →

🤖 Strix aus deinem Coding-Agenten nutzen

Strix ist agenten-ready. Gib Claude Code, Cursor, Codex oder jedem SKILL.md-kompatiblen Agenten die Fähigkeit, Pentests auszuführen, Ergebnisse zu beheben und CI-Scans einzurichten:

npx skills add usestrix/strix

Dadurch werden vier Skills installiert: penetration-testing-with-strix (Headless-Scans ausführen und Ergebnisse lesen), managed-pentesting-with-strix (die verwaltete app.strix.ai-Plattform per REST steuern – ohne lokales Docker oder LLM-Key), fix-security-vulnerabilities-with-strix (Beheben + erneuter Scan zur Verifizierung) und ci-security-scanning-with-strix (PR-Scans in CI). Agenten können Strix auf zwei Arten mit derselben Engine ausführen – lokal über die Open-Source-CLI oder über die verwaltete Cloud, wenn keine lokale Infrastruktur vorhanden ist – und lesen AGENTS.md als Schnellreferenz, docs.strix.ai/llms.txt für die CLI-Dokumentation und docs.app.strix.ai für die API.

✨ Features

Agentische Pentesting-Tools

Strix-Agenten sind mit einem umfassenden Offensiv-Sicherheits-Toolkit ausgestattet – denselben Tools, die auch professionelle Penetrationstester und Ethical Hacker verwenden:

• HTTP-Interception-Proxy – Vollständige Manipulation und Analyse von Requests/Responses mit Caido
• Browser-Exploitation – Automatisierter Browser zum Testen von XSS, CSRF, Clickjacking und Auth-Bypass-Abläufen
• Shell- & Befehlsausführung – Interaktives Terminal für Exploit-Entwicklung und Post-Exploitation
• Benutzerdefinierte Exploit-Runtime – Python-Sandbox zum Schreiben und Validieren von Proof-of-Concept-Exploits
• Reconnaissance & OSINT – Automatisiertes Mapping der Angriffsfläche, Subdomain-Enumeration und Fingerprinting
• Statische & dynamische Codeanalyse – SAST- + DAST-Funktionen für umfassende Application-Security-Tests
• Wissensdatenbank für Schwachstellen – Strukturierte Ergebnisse mit CVSS-Bewertung und OWASP-Klassifizierung

Umfassender Schwachstellen-Scanner

Strix erkennt, validiert und exploitiert ein breites Spektrum an Sicherheitsschwachstellen – von der OWASP Top 10 bis darüber hinaus:

• Broken Access Control – IDOR, Privilegienerweiterung, Auth-Bypass
• Injection-Angriffe – SQL-Injection, NoSQL-Injection, OS-Command-Injection, SSTI
• Serverseitige Schwachstellen – SSRF, XXE, unsichere Deserialisierung, RCE
• Clientseitige Angriffe – XSS (stored/reflected/DOM), Prototype Pollution, CSRF
• Geschäftslogik-Schwachstellen – Race Conditions, Manipulation von Zahlungen, Workflow-Bypass
• Authentifizierung & Session – JWT-Angriffe, Session Fixation, Credential-Stuffing-Vektoren
• Infrastruktur & Cloud – Fehlkonfigurationen, exponierte Dienste, Cloud-Sicherheitsprobleme
• API-Sicherheit – Broken Authentication, Mass Assignment, Rate-Limiting-Bypass

Graph of Agents (Multi-Agent-Pentesting)

Erweiterte Multi-Agent-Orchestrierung für umfassende automatisierte Penetrationstests:

• Verteiltes Pentesting – Spezialisierte KI-Agenten für Recon, Exploitation und Post-Exploitation
• Skalierbare Sicherheitstests – Parallele Ausführung über mehrere Ziele für schnelle, umfassende Abdeckung
• Dynamische Koordination – Agenten teilen Entdeckungen, verketten Schwachstellen und arbeiten wie ein Red Team zusammen

🖥️ Lokaler Web-Viewer

Jeder Scan schreibt seine Ergebnisse während der Ausführung auf die Festplatte. Zeige sie mit einem einzigen Befehl in einem lokalen Dashboard an:

# Open the most recent run
strix view

# ...or open a specific run by name
strix view my-run-name

strix view startet einen schlanken lokalen Server (gebunden an 127.0.0.1 auf einem zufälligen Port) und öffnet in deinem Browser einen privaten, mit Token geschützten Link. Nichts verlässt deinen Rechner: Das Dashboard liest die Dateien des Runs direkt von der Festplatte – ganz ohne Cloud-Konto oder Upload. Die UI wird vorgebaut mit Strix ausgeliefert, daher gibt es keine zusätzliche Installation und keinen JS-Build-Schritt.

Was das Dashboard bietet

• Übersicht: Run-Status, Ziel und eine Aufschlüsselung der Schweregrade aller bisher gefundenen Ergebnisse.
• Schwachstellen: jede validierte Erkenntnis mit Schweregrad, Details und Reproduktionsschritten.
• Agentengraph: eine Live-Karte des Multi-Agent-Teams, die zeigt, welcher Agent gerade was tut.
• Steuerung: sende Anweisungen an einen laufenden Scan direkt aus dem Browser, um die Agenten während des Runs umzuleiten.
• Verlauf: vergangene Runs auf diesem Rechner durchsuchen und zwischen ihnen wechseln.
• Berichte: einen teilbaren Bericht erstellen und ihn an dich oder dein Team senden.

Anwendungsbeispiele

Grundlegende Verwendung

# Scan a local codebase
strix --target ./app-directory

# Security review of a GitHub repository
strix --target https://github.com/org/repo

# Black-box web application assessment
strix --target https://your-app.com

API-Tests (OpenAPI / Swagger / Postman)

Richte Strix auf einen API-Vertrag aus und es testet jeden deklarierten Endpoint, statt sie durch Crawling entdecken zu müssen. Kombiniere die Spezifikation mit der Live-Basis-URL, damit der Agent weiß, wohin er den Traffic senden soll:

# OpenAPI / Swagger file (.json / .yaml)
strix --target ./openapi.yaml --target https://api.your-app.com

# Postman collection export
strix --target ./collection.postman_collection.json --target https://api.your-app.com

# Postman collection pulled live by id (no manual export)
export POSTMAN_API_KEY="PMAK-..."
strix --target postman://<collection-uuid>

# ...with a Postman environment to resolve {{baseUrl}} / token variables
strix --target "postman://<collection-uuid>?env=<environment-uuid>"

Fortgeschrittene Testszenarien

# Grey-box authenticated testing
strix --target https://your-app.com --instruction "Perform authenticated testing using credentials: user:pass"

# Multi-target testing (source code + deployed app)
strix -t https://github.com/org/app -t https://your-app.com

# Targets from a file, one target per non-empty, non-comment line
strix --target-list ./targets.txt

# White-box source-aware scan (local repository)
strix --target ./app-directory --scan-mode standard

# Focused testing with custom instructions
strix --target api.your-app.com --instruction "Focus on business logic flaws and IDOR vulnerabilities"

# Provide detailed instructions through file (e.g., rules of engagement, scope, exclusions)
strix --target api.your-app.com --instruction-file ./instruction.md

# Force PR diff-scope against a specific base branch
strix -n --target ./ --scan-mode quick --scope-mode diff --diff-base origin/main

Headless-Modus

Führe Strix mit dem Flag -n/--non-interactive programmatisch und ohne interaktive UI aus – ideal für Server und automatisierte Jobs. Die CLI gibt Schwachstellen-Ergebnisse in Echtzeit sowie den finalen Bericht aus, bevor sie endet. Wenn Schwachstellen gefunden werden, endet der Prozess mit einem Non-Zero-Exitcode.

strix -n --target https://your-app.com

CI/CD (GitHub Actions)

Strix kann deiner Pipeline mit einem schlanken GitHub-Actions-Workflow hinzugefügt werden, um bei Pull-Requests einen Sicherheitstest auszuführen:

name: strix-penetration-test

on:
  pull_request:

jobs:
  security-scan:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v6
        with:
          fetch-depth: 0

      - name: Install Strix
        run: curl -sSL https://strix.ai/install | bash

      - name: Run Strix
        env:
          STRIX_LLM: ${{ secrets.STRIX_LLM }}
          LLM_API_KEY: ${{ secrets.LLM_API_KEY }}

        run: strix -n -t ./ --scan-mode quick

[!TIP] Bei CI-Pull-Request-Läufen begrenzt Strix schnelle Reviews automatisch auf geänderte Dateien. Wenn der Diff-Scope nicht aufgelöst werden kann, stelle sicher, dass der Checkout die vollständige History verwendet (fetch-depth: 0), oder übergib --diff-base explizit.

Konfiguration

export STRIX_LLM="openai/gpt-5.4"
export LLM_API_KEY="your-api-key"

# Optional
export LLM_API_BASE="your-api-base-url"  # if using a local model, e.g. Ollama, LMStudio
export PERPLEXITY_API_KEY="your-api-key"  # for search capabilities
export STRIX_REASONING_EFFORT="high"  # control thinking effort (default: high, quick scan: medium)

[!NOTE] Strix speichert deine Konfiguration automatisch unter ~/.strix/cli-config.json, sodass du sie nicht bei jedem Run neu eingeben musst.

Mit einem ChatGPT-Abonnement anmelden

Statt eines abrechnungsbasierten API-Schlüssels kannst du Strix mit deinem ChatGPT-Plus/Pro-Abonnement ausführen:

strix auth login chatgpt      # sign in with your ChatGPT account

export STRIX_LLM="chatgpt/gpt-5.4"   # chatgpt/<model> runs on the subscription
strix --target ./app-directory

strix auth status             # show the active sign-in
strix auth logout             # forget the sign-in

Empfohlene Modelle für beste Ergebnisse:

• OpenAI GPT-5.4 - openai/gpt-5.4
• Anthropic Claude Sonnet 4.6 - anthropic/claude-sonnet-4-6
• Google Gemini 3 Pro Preview - vertex_ai/gemini-3-pro-preview

Alle unterstützten Anbieter – einschließlich Vertex AI, Bedrock, Azure und lokaler Modelle – findest du in der LLM-Provider-Dokumentation.

Enterprise-Pentesting

Erhalte dasselbe Strix-Erlebnis mit Enterprise-Funktionen: SSO (SAML/OIDC), individuelle compliance-fähige Penetrationstest-Berichte (SOC 2, ISO 27001, PCI DSS), dedizierter Support & SLA, individuelle Bereitstellungsoptionen (VPC/self-hosted), BYOK-Modellunterstützung und maßgeschneiderte KI-Pentesting-Agenten, die für deine Umgebung optimiert sind. Mehr erfahren.

Dokumentation

Die vollständige Dokumentation ist unter docs.strix.ai verfügbar – inklusive detaillierter Anleitungen zu Nutzung, CI/CD-Integrationen, Skills und erweiterter Konfiguration.

Mitwirken

Wir freuen uns über Beiträge in Form von Code, Dokumentation und neuen Skills – wirf einen Blick in unseren Contributing-Guide, um loszulegen, oder öffne einen Pull-Request/ein Issue.

Werde Teil unserer Community

Hast du Fragen? Einen Bug gefunden? Möchtest du mitwirken? Tritt unserem Discord bei!

Unterstütze das Projekt

Strix gefällt dir? Gib uns einen ⭐ auf GitHub!

Danksagungen

Strix baut auf der großartigen Arbeit von Open-Source-Projekten wie LiteLLM, Caido, Nuclei, Playwright und Bubble Tea auf. Ein riesiges Dankeschön an ihre Maintainer!

[!WARNING] Nur zur autorisierten Nutzung. Strix testet aktiv die Ziele, auf die du es richtest. Führe es daher nur gegen Systeme aus, die dir gehören oder für die du die ausdrückliche schriftliche Erlaubnis zum Testen hast, und bleib innerhalb des vereinbarten Umfangs. Nicht autorisierte Tests sind in den meisten Rechtsordnungen illegal. Du allein bist dafür verantwortlich, die Autorisierung einzuholen und dich an das Gesetz zu halten. Strix wird „wie besehen“ ohne Gewährleistung oder Haftung für Missbrauch bereitgestellt.