usestrix/strixアプリの脆弱性を発見・修正するためのオープンソースAIペネトレーションテストツール。
[!TIP] 新機能! StrixはGitHub ActionsやCI/CDパイプラインとシームレスに統合されます。すべてのプルリクエストで脆弱性を自動的にスキャンし、本番環境に到達する前に安全でないコードをブロックします - 設定不要で今すぐ始める。
Strixは、実際のハッカーとまったく同じように行動する自律型AIペネトレーションテストエージェントです。コードを動的に実行し、脆弱性を発見し、実際の概念実証を通じて検証します。手動ペンテストのオーバーヘッドや静的解析ツールの誤検知なしに、高速かつ正確なセキュリティテストを必要とする開発者やセキュリティチーム向けに構築されています。
主な機能:
前提条件:
# Install Strix
curl -sSL https://strix.ai/install | bash
# Configure your AI provider
export STRIX_LLM="openai/gpt-5.4"
export LLM_API_KEY="your-api-key"
# Run your first security assessment
strix --target ./app-directory
[!NOTE] 初回実行時にはサンドボックス用のDockerイメージが自動的にプルされます。結果は
strix_runs/<run-name>に保存されます。
フルスタックのペネトレーションテストプラットフォームを app.strix.ai でお試しください - 無料でサインアップし、リポジトリとドメインを接続して、数分でペンテストを開始できます。
Strixはエージェント対応です。Claude Code、Cursor、Codex、またはSKILL.md互換のエージェントに、ペンテストの実行、発見事項の修正、CIスキャンの設定を許可します:
npx skills add usestrix/strix
これにより、4つのスキルがインストールされます: penetration-testing-with-strix（ヘッドレススキャンの実行と結果の読み取り）、managed-pentesting-with-strix（REST経由でマネージドapp.strix.aiプラットフォームを操作 — ローカルのDockerやLLMキーは不要）、fix-security-vulnerabilities-with-strix（修復+再スキャンによる検証）、ci-security-scanning-with-strix（CIでのPRスキャン）。エージェントは同じエンジンでStrixを2つの方法で実行できます — ローカルではオープンソースCLI、ローカルインフラがない場合はマネージドクラウド。クイックリファレンスとしてAGENTS.md、CLIドキュメントとしてdocs.strix.ai/llms.txt、APIドキュメントとしてdocs.app.strix.aiを参照してください。
Strixエージェントには、プロのペネトレーションテスターや倫理的ハッカーが使用するのと同じ、包括的な攻撃的セキュリティツールキットが装備されています:
Strixは、OWASP Top 10およびそれ以上の幅広いセキュリティ脆弱性を特定、検証、悪用します:
包括的な自動ペネトレーションテストのための高度なマルチエージェントオーケストレーション:
すべてのスキャンは、実行中に結果をディスクに書き込みます。単一のコマンドでローカルダッシュボードに表示できます:
# Open the most recent run
strix view
# ...or open a specific run by name
strix view my-run-name
strix view は軽量なローカルサーバー（ランダムポートの 127.0.0.1 にバインド）を起動し、ブラウザでプライベートなトークン付きリンクを開きます。マシンの外部には何も送信されません: ダッシュボードは実行ファイルをディスクから直接読み取るため、クラウドアカウントやアップロードは不要です。UIはStrixにプリビルドされているため、追加インストールやJSビルドステップはありません。
# Scan a local codebase
strix --target ./app-directory
# Security review of a GitHub repository
strix --target https://github.com/org/repo
# Black-box web application assessment
strix --target https://your-app.com
StrixをAPIコントラクトに向けると、クロールによる発見ではなく、宣言されたすべてのエンドポイントをテストします。仕様を実在のベースURLと組み合わせて、エージェントがトラフィックの送信先を知ることができるようにします:
# OpenAPI / Swagger file (.json / .yaml)
strix --target ./openapi.yaml --target https://api.your-app.com
# Postman collection export
strix --target ./collection.postman_collection.json --target https://api.your-app.com
# Postman collection pulled live by id (no manual export)
export POSTMAN_API_KEY="PMAK-..."
strix --target postman://<collection-uuid>
# ...with a Postman environment to resolve {{baseUrl}} / token variables
strix --target "postman://<collection-uuid>?env=<environment-uuid>"
# Grey-box authenticated testing
strix --target https://your-app.com --instruction "Perform authenticated testing using credentials: user:pass"
# Multi-target testing (source code + deployed app)
strix -t https://github.com/org/app -t https://your-app.com
# Targets from a file, one target per non-empty, non-comment line
strix --target-list ./targets.txt
# White-box source-aware scan (local repository)
strix --target ./app-directory --scan-mode standard
# Focused testing with custom instructions
strix --target api.your-app.com --instruction "Focus on business logic flaws and IDOR vulnerabilities"
# Provide detailed instructions through file (e.g., rules of engagement, scope, exclusions)
strix --target api.your-app.com --instruction-file ./instruction.md
# Force PR diff-scope against a specific base branch
strix -n --target ./ --scan-mode quick --scope-mode diff --diff-base origin/main
インタラクティブUIなしで、-n/--non-interactive フラグを使用してStrixをプログラム的に実行 - サーバーや自動化ジョブに最適です。CLIは、終了前にリアルタイムの脆弱性発見事項と最終レポートを出力します。脆弱性が見つかった場合は非ゼロの終了コードで終了します。
strix -n --target https://your-app.com
Strixは、軽量なGitHub Actionsワークフローでプルリクエストのセキュリティテストを実行するためにパイプラインに追加できます:
name: strix-penetration-test
on:
pull_request:
jobs:
security-scan:
runs-on: ubuntu-latest
steps:
- uses: actions/checkout@v6
with:
fetch-depth: 0
- name: Install Strix
run: curl -sSL https://strix.ai/install | bash
- name: Run Strix
env:
STRIX_LLM: ${{ secrets.STRIX_LLM }}
LLM_API_KEY: ${{ secrets.LLM_API_KEY }}
run: strix -n -t ./ --scan-mode quick
[!TIP] CIのプルリクエスト実行では、Strixはクイックレビューのスコープを変更されたファイルに自動的に限定します。 diffスコープを解決できない場合は、チェックアウトが完全な履歴（
fetch-depth: 0）を使用していることを確認するか、--diff-baseを明示的に渡してください。
export STRIX_LLM="openai/gpt-5.4"
export LLM_API_KEY="your-api-key"
# Optional
export LLM_API_BASE="your-api-base-url" # if using a local model, e.g. Ollama, LMStudio
export PERPLEXITY_API_KEY="your-api-key" # for search capabilities
export STRIX_REASONING_EFFORT="high" # control thinking effort (default: high, quick scan: medium)
[!NOTE] Strixは設定を
~/.strix/cli-config.jsonに自動的に保存するため、毎回入力する必要はありません。
従量課金のAPIキーの代わりに、ChatGPT Plus/ProサブスクリプションでStrixを実行できます:
strix auth login chatgpt # sign in with your ChatGPT account
export STRIX_LLM="chatgpt/gpt-5.4" # chatgpt/<model> runs on the subscription
strix --target ./app-directory
strix auth status # show the active sign-in
strix auth logout # forget the sign-in
最良の結果を得るための推奨モデル:
openai/gpt-5.4anthropic/claude-sonnet-4-6vertex_ai/gemini-3-pro-previewVertex AI、Bedrock、Azure、ローカルモデルを含むすべての対応プロバイダーについては、LLMプロバイダードキュメントを参照してください。
同じStrix体験をエンタープライズグレードのコントロールで: SSO（SAML/OIDC）、カスタムのコンプライアンス対応ペネトレーションテストレポート（SOC 2、ISO 27001、PCI DSS）、専用サポートとSLA、カスタムデプロイオプション（VPC/セルフホスト）、BYOKモデルサポート、お客様の環境に最適化されたテーラーメイドのAIペンテストエージェント。詳細はこちら。
完全なドキュメントは docs.strix.ai で入手できます - 使用法、CI/CD統合、スキル、高度な設定の詳細なガイドを含みます。
コード、ドキュメント、新しいスキルへの貢献を歓迎します - 開始するにはコントリビューションガイドをご覧いただくか、プルリクエスト/イシューを開いてください。
質問がありますか？ バグを見つけましたか？ 貢献したいですか？ Discordに参加しましょう!
Strixが好きですか? GitHubで⭐を付けてください!
Strixは、LiteLLM、Caido、Nuclei、Playwright、Bubble Teaなどのオープンソースプロジェクトの素晴らしい成果の上に構築されています。メンテナーの皆さんに心から感謝します!
[!WARNING] 許可された使用のみ。 Strixは指定したターゲットを積極的にテストするため、所有しているシステム、またはテストする明示的な書面による許可を得たシステムに対してのみ実行し、合意されたスコープ内に留まってください。許可のないテストはほとんどの法域で違法です。 認可の取得と法律の遵守の責任はあなた自身にあります。Strixは「現状のまま」提供され、誤用に対する保証や責任はありません。