4
7 月
Strix：3.4 万星开源 AI 渗透测试 Agent — 不误报、96% 准确率的安全工具
Strix：3.4 万星的开源 AI 渗透测试 Agent — 不误报、96% 准确率
一句话结论：Strix 让 AI Agent 像真实黑客一样攻击你的应用，但找不到 PoC 就绝不报告。
项目信息
| 字段 | 内容 |
|---|---|
| 项目名 | Strix |
| GitHub | github.com/usestrix/strix |
| License | Apache 2.0 |
| Stars | 33,688 |
| 最新版本 | v 1.0.4（2026-06-09） |
| GitHub Trending | 7 月 3 日 #1（+2,137 stars/天） |
解决什么问题
传统安全扫描器误报率 40%+。Strix 的解法：不生成 PoC，就不报告发现。
独立 XBEN 基准测试：104 个 Web 挑战中成功攻破 100 个（96%），每题约 $3.37。
核心能力
- 应用安全测试：自主检测并验证关键漏洞
- 快速渗透测试：数小时完成原本数周的工作
- Bug Bounty 自动化：自动研究并生成 PoC 报告
- CI/CD 集成：GitHub Actions 一键扫描每个 PR
Strix vs JadePuffer：AI 攻防的双面
JadePuffer 是攻击方的 AI。Strix 是防守方的 AI。同一个底层技术，用在红队就是渗透测试工具，用在黑产就是勒索 Agent。
上手路径
- Docker + LLM API Key
git clone+pip install- 配置 GitHub Actions（可选）
- 指向你有权限测试的应用
FAQ
Strix 能替代人工渗透测试吗？ 能减少 80% 重复工作，但不能完全替代。
单个应用测试要花多少钱？ XBEN 基准每题约 $3.37。
Strix 会误报吗？ 理论上可能，但远低于传统扫描器。
相关阅读
- JadePuffer 全链路复盘
- Anthropic Cybersecurity Skills — 21 k 星
- Ponytail：7 万星 GitHub 项目
- Claude Code Dynamic Workflows GA
参考来源
背景阅读：为什么 AI 安全工具变得紧迫？JadePuffer 全链路复盘 记录了史上首次 LLM 全自主勒索攻击的每个细节。
安全工具链：Strix 负责发现漏洞，Anthropic Cybersecurity Skills 提供 817 个结构化防御技能，建议两者配合使用形成完整的 AI 安全评估管线。
分享这篇文章
RELATED
Posts
Ponytail：7万星 GitHub 项目，用YAGNI哲学让你的AI代码减半
70,152 stars 的 Ponytail 是一个 Claude Code Skill，它用 YAGNI 极简哲学让 AI 生成代码减少 54%、token 用量减少 22%。实测成本降低 20%，安全评分 100%。
美团 LongCat-2.0：1.6 万亿参数编码模型，100% 国产芯片训练，全开源
美团发布 LongCat-2.0：1.6万亿参数 MoE 编码模型，5万张国产芯片全流程训练，全开源。不到一年参数规模从5600亿翻三倍。全栈自主训练可行性获验证。
Qwen-AgentWorld：千问开源世界模型 35B，Agent 仿真不再需要真实环境
Qwen-AgentWorld 是通义千问团队 6 月 24 日发布的开源「语言世界模型」——一个能用思维链推理来模拟 Agent 环境的 AI 系统。不需要真实环境，不需要实际交互，你给它一个任务描述，它就能精确推演 Agent 在执行过程中会遇到什么、该怎么做。35B MoE 参数（3B 激活），256K 上下文，Apache 2.0 开源。
什么是世界模型？为什么 Agent 需要它？
现实世界中训练 AI Agent 非常昂贵。你要搭建测试环境、运行成千上万次交互、处理各种边缘情况。世界模型的核心思想是：如果 AI 能在脑子里精确模拟环境，就不需要每次都真的去跑了。就像人类学开车不会每学一个操作都上一次真车——先在脑子里过一遍。AgentWorld 把这个思路做到了工业级：它覆盖了 MCP、搜索、终端、软件工程（SWE）、Android、网页、操作系统 7 个领域，用超过 1000 万条真实交互轨迹训练。
三阶段训练管线
CPT（持续预训练）：注入环境知识——让模型知道终端命令、API 调用、网页 DOM 结构的规律
SFT（监督微调）：激活下一步状态预测推理——给定当前状态和动作，预测下一个状态
RL（强化学习）：提高模拟逼真度——让模型的预测更接近真实环境中的结果
与业界常见的做法不同——大多数项目把世界模型当作一个后续附加功能——AgentWorld 从 CPT 阶段起就把环境建模作为训练目标。这被称为「原生世界模型」——环境理解是训练的核心目标，不是事后补充。
性能：超越 GPT-5.4
在 AgentWorldBench（覆盖 7...
逐字输出过时了？Google × NVIDIA 开源 DiffusionGemma，一次蹦出 256 个 Token
逐字输出过时了？Google × NVIDIA 开源 DiffusionGemma，一次蹦出 256 个 Token
你可能没想过一个问题：为什么 AI 写文章是一个字一个字出来的？不是你手机慢。是所有大语言模型天生就是「自回归」的——先写第一个字，基于第一个字写第二个字，以此类推。但 6 月 10 日，Google 和 NVIDIA 联合发布的 DiffusionGemma，把这个逻辑倒了过来。
不是写出来的，是「扩散」出来的
传统 LLM 逐 token 生成，而 DiffusionGemma 从随机噪声开始，逐步「去噪」，同时生成 256 个 token，多轮迭代优化——像 Midjourney 生成图片一样。在 NVIDIA H100 上达到 1000 token/秒吞吐量，RTX 5090 超过 700 token/秒。传统模型 200-300 token/秒——快了...
张雪峰的开源 AI 填志愿 Agent：1932 页方法论、9.3K Stars，一个敢说真话的 AI
张雪峰的开源 AI 填志愿 Agent：1932 页方法论、9.3K Stars，一个敢说真话的 AI
最近 GitHub 上有个项目火了。名字就很直给：zhangxuefeng-skill，副标题是「张雪峰的认知操作系统——高考志愿/考研/职业规划的实战思维框架」。9,290 颗星。
我点进去看了半小时，出来只有一个感觉：这帮人把张雪峰那些价值 5000 块一小时的志愿填报方法论，压缩进了一个 Python 脚本。还开源了。
这是什么？
项目整合了 8 本志愿填报专著（1932 页 OCR 提取）、61 节专业视频课程（1500+ 分钟）、792 个本科专业的完整就业数据、2600+ 所高校数据、20+ 个高校行业联盟分类。17 个知识库模块覆盖方法论、选科、专业、学校、考研、就业、专科、趋势。
工作流程：意图识别→结构化采集（省份+分数+兴趣+家庭资源+就业诉求，缺啥问啥）→冲稳保匹配（位次法+家庭资源禀赋+专业就业前景）→敢说真话（不适合你的专业直接告诉你）→实时搜索最新政策→模型无关（兼容 DeepSeek/千问/GLM/GPT/Ollama 任意模型）。
为什么这个项目会火？
原因一：独特的人格。继承张雪峰最鲜明的特点——不只说「哪个专业好」，还说「哪个专业不好，哪些人不适合做这个」。README 里举了一个例子：考生说「性格内向、不喜欢编程，但想学人工智能」。Agent 回答：「AI 就业好但需要较强逻辑和代码能力，和你的性格不匹配。与其硬冲热门，不如看看心理学、康复治疗学。」大厂的 AI 志愿工具很难说这种话——大厂的底线是「不得罪人」。一个开源项目没有这个包袱。
原因二：方法论透明。全部方法论写在代码里和数据文件里。你可以打开看看它是如何评估学校的、用什么指标体系、在什么条件下给出什么建议。你不能审计元宝的推荐逻辑，但你可以审计 xuefeng-agent 的。
原因三：部署自由。可以跑在你自己的电脑上，不需要联网，个人数据不出本地。对于特别在意隐私的家庭来说，这是一个不小的卖点。
跟大厂工具比，差距在哪？
数据更新机制上，大厂能接入考试院实时数据，开源 Agent 依赖静态知识库+自主搜索。用户体验上，大厂有图形界面一键导出，开源需要配 Python 环境。但一个有意思的使用思路是：用大厂的 AI 生成方案，用开源的...
VoxCPM2：清华大学开源语音合成模型霸榜GitHub，3秒克隆你的声音
清华大学OpenBMB发布VoxCPM2语音合成模型，GitHub Trending #1、20K+ Star。无Tokenizer扩散自回归架构，30种语言+9种中文方言，3秒克隆48kHz。Apache 2.0免费商用。
OpenMontage：把你的AI编码助手变成能剪视频的工作室
OpenMontage：全球首个开源Agent视频制作系统，12条管线、52个工具、500+Agent技能，把你的AI编码助手变成完整视频工作室。GitHub日增987 Star，8.7K总星。
Cognee 1.2.0：让AI Agent拥有真正记住你能力的开源引擎更新了
Cognee v1.2.0发布：19K Star开源AI Agent记忆平台。自托管知识图谱引擎为Agent提供持久结构化可追溯的长期记忆，会话蒸馏可视化+安全默认配置+多后端鲁棒性。与Anthropic Dreaming同日更新。
JetBrains 开源 Mellum2：一个 12B 的模型，凭什么能让 AI 工作流快两倍？
> AI 摘要 > - Mellum2 是 JetBrains 开源的 12B MoE 模型，每次推理仅激活 2.5B 参数 > - 定位为 AI 系统中的「focal model」——处理路由、RAG、子 Agent 等高频低延迟任务 > - Apache 2.0 许可，从零训练 10.6 ...
GStack 是什么？Y Combinator 总裁 Gary Tan 的开源 AI 开发框架深度解析
GStack 将 Claude Code 打造成虚拟工程团队，Gary Tan 2026 年产出速度达 2013 年的 810 倍。附完整配置教程。
评论 (1)
[…] Strix：3.4 万星开源 AI 渗透测试 Agent […]
评论被关闭。