OpenHunterAI

你的本地 AI 红队。
面向 Web、API 和 LLM 应用安全的攻击者式推理。

快速开始 · Agent 技能 · 评估模型 · 架构 · 文档 · Star 历史

OpenHunterAI 将范围、扫描活动、发现结果和修复建议整合到一个本地工作区中。无需账户即可开始，连接你的模型提供商，并评估你拥有或获授权测试的、经过验证的公开应用。

Alpha 阶段。 集成覆盖范围取决于所配置的运行时。工作区状态正常或报告为空，并不证明目标安全。

评估模型

OpenHunterAI 保留了 48bf9036 技术需求中有用的核心内容：从攻击者的视角评估外部可观察行为。无需源代码。每次运行都限制在已验证的公开目标和已批准的范围之内。

flowchart LR
  S["1. Lock scope"] --> M["2. Map surface"]
  M --> B["3. Establish baseline"]
  B --> H["4. Test bounded hypotheses"]
  H --> E["5. Gate evidence"]
  E --> R["6. Report and retest"]

OpenAPI/Swagger 描述、Postman 示例、脱敏的 HTTP 捕获以及专用测试账户有助于界定约定的测试表面。自动导入或保留原始敏感流量并非承诺的能力。

快速开始

需要 Git、Node.js 22+ 以及带 Compose v2 的 Docker。

git clone https://github.com/LumosLab-Innovation/OpenHunterAI.git
cd OpenHunterAI
node ops/local.mjs start

打开 localhost:3001。首次启动会构建镜像、应用数据库迁移，并创建一个包含生成密钥的私有 .env.local。

1. 在 .env.local 中设置提供商密钥和模型 ID；运行 node ops/local.mjs restart。
2. 创建一个项目并验证其公开域名。
3. 授权范围，启动扫描，并查看其活动和覆盖情况。

已包含： 浏览器检查、ZAP、侦察以及 Nuclei 适配器。 需单独提供： OpenHack 和 Strix 运行时。 可选的交互式 目标登录 捕获：node ops/local.mjs start --with-browser。

扫描前，请解决 Nuclei 模板策略阻碍。适配器已打包，但尚未提供经过审查的模板包。

本地意味着工作区在你的机器上运行，并非 扫描 localhost/私有网络的许可。请将其端口保持在回环地址上。 设置、模型配置和故障排除 →

编码 Agent 技能

在你想让 Agent 评估的应用仓库中运行：

npx --yes skills add LumosLab-Innovation/OpenHunterAI --skill openhunter --agent codex claude-code gemini-cli grok --yes

重新加载你的编码 Agent，然后询问：

使用 OpenHunter 检查我的工作区，并准备一份有范围的安全评估。 在开始扫描前等待我的批准。

OMP 通过其 Agents 提供商发现共享的 .agents/skills 安装。该技能包含一个只读 API 辅助工具；安装不会启动扫描。客户端兼容性 →

架构

flowchart LR
  UI["Local workspace<br/>React + Vite"] --> API["Public API<br/>Scope + scan plan"]
  API --> BUS["NATS<br/>Orchestrator + workers"]
  BUS --> EVIDENCE["Internal API<br/>Findings + reporting"]
  EVIDENCE --> DB[("Postgres")]
  API <--> DB
  API -->|"Activity + reports"| UI

公共 API 构建计划；Go 工作进程通过有界适配器执行该计划。信号在进入报告之前会经过发现结果策略。报告是一个后端服务，而不是单独的扫描工作进程。

运行时与数据流 · 工作进程映射 · 集成设置

文档

所有文档 · 已知局限性 · 历史技术规范

社区与许可证

报告 Bug、提出改进建议，或帮助澄清文档。 请先阅读贡献规则；通过私密方式披露漏洞，不要包含凭据或原始目标数据。

源代码在 PolyForm Noncommercial 1.0.0 下可获取。 商业许可：LICENSING.md。 上游工具与署名保留其各自的声明。

Star 历史