Strix

オープンソースのAIペンテストツール。アプリの脆弱性を発見・修正する自律型AIハッカー。

[!TIP] 新機能! StrixはGitHub ActionsやCI/CDパイプラインとシームレスに統合されます。すべてのプルリクエストで脆弱性を自動的にスキャンし、本番環境に到達する前に安全でないコードをブロックします - 設定不要で今すぐ始める。

Strix 概要

Strixは、実際のハッカーとまったく同じように行動する自律型AIペネトレーションテストエージェントです。コードを動的に実行し、脆弱性を発見し、実際の概念実証を通じて検証します。手動ペンテストのオーバーヘッドや静的解析ツールの誤検知なしに、高速かつ正確なセキュリティテストを必要とする開発者やセキュリティチーム向けに構築されています。

主な機能:

完全なペンテストツールキット - 偵察、悪用、検証をすぐに利用可能
マルチエージェントオーケストレーション - 協調してスケールするAIペンテスターのチーム
実際のエクスプロイト検証 - レガシーな脆弱性スキャナーのような誤検知ではなく、動作するPoC
開発者ファーストのCLI - 修復ガイダンス付きの実用的な発見事項
自動修正とレポート - パッチとコンプライアンス対応のペンテストレポートを生成

ユースケース

アプリケーションセキュリティテスト - アプリケーションの重大な脆弱性を検出・検証
迅速なペネトレーションテスト - コンプライアンスレポート付きで、数週間ではなく数時間でペネトレーションテストを完了
バグバウンティの自動化 - バグバウンティ調査を自動化し、迅速なレポート作成のためのPoCを生成
CI/CD統合 - CI/CDでテストを実行し、本番環境に到達する前に脆弱性をブロック

🚀 クイックスタート

前提条件:

Docker（実行中）
任意の対応プロバイダー（OpenAI、Anthropic、Googleなど）からのLLM APIキー

インストールと最初のスキャン

# Install Strix
curl -sSL https://strix.ai/install | bash

# Configure your AI provider
export STRIX_LLM="openai/gpt-5.4"
export LLM_API_KEY="your-api-key"

# Run your first security assessment
strix --target ./app-directory

[!NOTE] 初回実行時にはサンドボックス用のDockerイメージが自動的にプルされます。結果は strix_runs/<run-name> に保存されます。

☁️ Strix プラットフォーム

フルスタックのペネトレーションテストプラットフォームを app.strix.ai でお試しください - 無料でサインアップし、リポジトリとドメインを接続して、数分でペンテストを開始できます。

PoC付きの検証済み発見事項 - すべての脆弱性に、動作する概念実証エクスプロイトと再現手順が含まれます
ワンクリック自動修正 - マージ可能なプルリクエストとして生成されるAIセキュリティパッチ
継続的ペンテスト - デプロイのペースに合わせて常時稼働する脆弱性スキャン
DevSecOps統合 - GitHub、GitLab、Bitbucket、Slack、Jira、Linear、CI/CDパイプライン
継続的学習 - 過去の発見事項に基づいて構築し、コードベースに適応し、時間の経過とともに誤検知を減らすAI

最初のペンテストを開始 →

🤖 コーディングエージェントから Strix を使う

Strixはエージェント対応です。Claude Code、Cursor、Codex、またはSKILL.md互換のエージェントに、ペンテストの実行、発見事項の修正、CIスキャンの設定を許可します:

npx skills add usestrix/strix

これにより、4つのスキルがインストールされます: penetration-testing-with-strix（ヘッドレススキャンの実行と結果の読み取り）、managed-pentesting-with-strix（REST経由でマネージドapp.strix.aiプラットフォームを操作 — ローカルのDockerやLLMキーは不要）、fix-security-vulnerabilities-with-strix（修復+再スキャンによる検証）、ci-security-scanning-with-strix（CIでのPRスキャン）。エージェントは同じエンジンでStrixを2つの方法で実行できます — ローカルではオープンソースCLI、ローカルインフラがない場合はマネージドクラウド。クイックリファレンスとしてAGENTS.md、CLIドキュメントとしてdocs.strix.ai/llms.txt、APIドキュメントとしてdocs.app.strix.aiを参照してください。

✨ 機能

エージェント型ペンテストツール

Strixエージェントには、プロのペネトレーションテスターや倫理的ハッカーが使用するのと同じ、包括的な攻撃的セキュリティツールキットが装備されています:

HTTP傍受プロキシ - Caidoによる完全なリクエスト/レスポンス操作と分析
ブラウザエクスプロイト - XSS、CSRF、クリックジャッキング、認証バイパスのフローをテストする自動ブラウザ
シェルとコマンド実行 - エクスプロイト開発とポストエクスプロイテーションのための対話型ターミナル
カスタムエクスプロイトランタイム - 概念実証エクスプロイトの作成と検証のためのPythonサンドボックス
偵察とOSINT - 自動化された攻撃面マッピング、サブドメイン列挙、フィンガープリンティング
静的・動的コード分析 - 包括的なアプリケーションセキュリティテストのためのSAST + DAST機能
脆弱性ナレッジベース - CVSSスコアリングとOWASP分類を備えた構造化された発見事項

包括的な脆弱性スキャナー

Strixは、OWASP Top 10およびそれ以上の幅広いセキュリティ脆弱性を特定、検証、悪用します:

アクセス制御の不備 - IDOR、権限昇格、認証バイパス
インジェクション攻撃 - SQLインジェクション、NoSQLインジェクション、OSコマンドインジェクション、SSTI
サーバーサイドの脆弱性 - SSRF、XXE、安全でないデシリアライゼーション、RCE
クライアントサイド攻撃 - XSS（格納型/反射型/DOM）、プロトタイプ汚染、CSRF
ビジネスロジックの欠陥 - レースコンディション、決済操作、ワークフローバイパス
認証とセッション - JWT攻撃、セッション固定化、クレデンシャルスタッフィングベクトル
インフラストラクチャとクラウド - 設定ミス、露出したサービス、クラウドセキュリティ問題
APIセキュリティ - 認証の不備、マスアサインメント、レート制限のバイパス

エージェントのグラフ（マルチエージェントペンテスト）

包括的な自動ペネトレーションテストのための高度なマルチエージェントオーケストレーション:

分散ペンテスト - 偵察、悪用、ポストエクスプロイテーションに特化したAIエージェント
スケーラブルなセキュリティテスト - 複数ターゲットに対する並列実行による高速で包括的なカバレッジ
動的連携 - エージェントが発見事項を共有し、脆弱性を連鎖させ、レッドチームのように協力

🖥️ ローカルWebビューアー

すべてのスキャンは、実行中に結果をディスクに書き込みます。単一のコマンドでローカルダッシュボードに表示できます:

# Open the most recent run
strix view

# ...or open a specific run by name
strix view my-run-name

strix view は軽量なローカルサーバー（ランダムポートの 127.0.0.1 にバインド）を起動し、ブラウザでプライベートなトークン付きリンクを開きます。マシンの外部には何も送信されません: ダッシュボードは実行ファイルをディスクから直接読み取るため、クラウドアカウントやアップロードは不要です。UIはStrixにプリビルドされているため、追加インストールやJSビルドステップはありません。

ダッシュボードの内容

概要: 実行ステータス、ターゲット、これまでに検出されたすべての重大度別内訳。
脆弱性: 重大度、詳細、再現手順を含む、検証済みの各発見事項。
エージェントグラフ: どのエージェントが何をしているかを示すマルチエージェントチームのライブマップ。
操作指示: ブラウザから実行中のスキャンに指示を送信し、実行中のエージェントをリダイレクト。
履歴: このマシンでの過去の実行を閲覧し、相互に切り替え。
レポート: 共有可能なレポートを生成し、自分やチームにメール送信。

使用例

基本的な使い方

# Scan a local codebase
strix --target ./app-directory

# Security review of a GitHub repository
strix --target https://github.com/org/repo

# Black-box web application assessment
strix --target https://your-app.com

APIテスト（OpenAPI / Swagger / Postman）

StrixをAPIコントラクトに向けると、クロールによる発見ではなく、宣言されたすべてのエンドポイントをテストします。仕様を実在のベースURLと組み合わせて、エージェントがトラフィックの送信先を知ることができるようにします:

# OpenAPI / Swagger file (.json / .yaml)
strix --target ./openapi.yaml --target https://api.your-app.com

# Postman collection export
strix --target ./collection.postman_collection.json --target https://api.your-app.com

# Postman collection pulled live by id (no manual export)
export POSTMAN_API_KEY="PMAK-..."
strix --target postman://<collection-uuid>

# ...with a Postman environment to resolve {{baseUrl}} / token variables
strix --target "postman://<collection-uuid>?env=<environment-uuid>"

高度なテストシナリオ

# Grey-box authenticated testing
strix --target https://your-app.com --instruction "Perform authenticated testing using credentials: user:pass"

# Multi-target testing (source code + deployed app)
strix -t https://github.com/org/app -t https://your-app.com

# Targets from a file, one target per non-empty, non-comment line
strix --target-list ./targets.txt

# White-box source-aware scan (local repository)
strix --target ./app-directory --scan-mode standard

# Focused testing with custom instructions
strix --target api.your-app.com --instruction "Focus on business logic flaws and IDOR vulnerabilities"

# Provide detailed instructions through file (e.g., rules of engagement, scope, exclusions)
strix --target api.your-app.com --instruction-file ./instruction.md

# Force PR diff-scope against a specific base branch
strix -n --target ./ --scan-mode quick --scope-mode diff --diff-base origin/main

ヘッドレスモード

インタラクティブUIなしで、-n/--non-interactive フラグを使用してStrixをプログラム的に実行 - サーバーや自動化ジョブに最適です。CLIは、終了前にリアルタイムの脆弱性発見事項と最終レポートを出力します。脆弱性が見つかった場合は非ゼロの終了コードで終了します。

strix -n --target https://your-app.com

CI/CD（GitHub Actions）

Strixは、軽量なGitHub Actionsワークフローでプルリクエストのセキュリティテストを実行するためにパイプラインに追加できます:

name: strix-penetration-test

on:
  pull_request:

jobs:
  security-scan:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v6
        with:
          fetch-depth: 0

      - name: Install Strix
        run: curl -sSL https://strix.ai/install | bash

      - name: Run Strix
        env:
          STRIX_LLM: ${{ secrets.STRIX_LLM }}
          LLM_API_KEY: ${{ secrets.LLM_API_KEY }}

        run: strix -n -t ./ --scan-mode quick

[!TIP] CIのプルリクエスト実行では、Strixはクイックレビューのスコープを変更されたファイルに自動的に限定します。 diffスコープを解決できない場合は、チェックアウトが完全な履歴（fetch-depth: 0）を使用していることを確認するか、 --diff-base を明示的に渡してください。

設定

export STRIX_LLM="openai/gpt-5.4"
export LLM_API_KEY="your-api-key"

# Optional
export LLM_API_BASE="your-api-base-url"  # if using a local model, e.g. Ollama, LMStudio
export PERPLEXITY_API_KEY="your-api-key"  # for search capabilities
export STRIX_REASONING_EFFORT="high"  # control thinking effort (default: high, quick scan: medium)

[!NOTE] Strixは設定を ~/.strix/cli-config.json に自動的に保存するため、毎回入力する必要はありません。

ChatGPTサブスクリプションでサインイン

従量課金のAPIキーの代わりに、ChatGPT Plus/ProサブスクリプションでStrixを実行できます:

strix auth login chatgpt      # sign in with your ChatGPT account

export STRIX_LLM="chatgpt/gpt-5.4"   # chatgpt/<model> runs on the subscription
strix --target ./app-directory

strix auth status             # show the active sign-in
strix auth logout             # forget the sign-in

最良の結果を得るための推奨モデル:

OpenAI GPT-5.4 - openai/gpt-5.4
Anthropic Claude Sonnet 4.6 - anthropic/claude-sonnet-4-6
Google Gemini 3 Pro Preview - vertex_ai/gemini-3-pro-preview

Vertex AI、Bedrock、Azure、ローカルモデルを含むすべての対応プロバイダーについては、LLMプロバイダードキュメントを参照してください。

エンタープライズペンテスト

同じStrix体験をエンタープライズグレードのコントロールで: SSO（SAML/OIDC）、カスタムのコンプライアンス対応ペネトレーションテストレポート（SOC 2、ISO 27001、PCI DSS）、専用サポートとSLA、カスタムデプロイオプション（VPC/セルフホスト）、BYOKモデルサポート、お客様の環境に最適化されたテーラーメイドのAIペンテストエージェント。詳細はこちら。

ドキュメント

完全なドキュメントは docs.strix.ai で入手できます - 使用法、CI/CD統合、スキル、高度な設定の詳細なガイドを含みます。

コントリビューション

コード、ドキュメント、新しいスキルへの貢献を歓迎します - 開始するにはコントリビューションガイドをご覧いただくか、プルリクエスト/イシューを開いてください。

コミュニティに参加

質問がありますか？バグを見つけましたか？貢献したいですか？ Discordに参加しましょう!

プロジェクトをサポート

Strixが好きですか? GitHubで⭐を付けてください!

謝辞

Strixは、LiteLLM、Caido、Nuclei、Playwright、Bubble Teaなどのオープンソースプロジェクトの素晴らしい成果の上に構築されています。メンテナーの皆さんに心から感謝します!

[!WARNING] 許可された使用のみ。 Strixは指定したターゲットを積極的にテストするため、所有しているシステム、またはテストする明示的な書面による許可を得たシステムに対してのみ実行し、合意されたスコープ内に留まってください。許可のないテストはほとんどの法域で違法です。認可の取得と法律の遵守の責任はあなた自身にあります。Strixは「現状のまま」提供され、誤用に対する保証や責任はありません。

strix v1.4.1

カテゴリ