小白/程序员必备GitHub AI 渗透利器大公开收藏起来学习网络安全本文盘点 GitHub 上最新的 AI 渗透测试工具和项目分为自主渗透框架、工具编排/MCP 平台和 Agent Skills 三类并推荐了几个热门项目。强调工具是放大器而非替身提醒读者仅限授权安全测试并提供了详细的开源地址汇总适合想要学习网络安全的小白和程序员参考。实战笔记 · PENTEST × AI 安全GitHub 上 AI 渗透的 agent、工具、skills我扒了一遍开源地址全在这最近一年AI 渗透测试这块从没东西变成挤不进去。朋友圈、群里隔三差五冒出个新 agent号称一句话就能打穿。我花了半天把 GitHub 上能搜到的 AI 渗透相关项目过了一遍按形态分了类把真正还在维护、星标过得去的挑出来开源地址整理在文末。先立住一句工具是放大器不是替身。会用的人拿它提速不会用的人拿它给自己壮胆——后者在授权测试里都容易翻车更别说别的场景。下面所有项目官方都标注了仅限授权安全测试。这句话不是客套是底线。本文只做技术盘点不提供任何利用方法。01先泼盆冷水九成是套壳真能打的就那一小撮GitHub 上一搜 “AI pentest agent”能翻出几十个仓库。点进去一半是这样一个 ReAct 循环套个 LLM调几个 nmap、sqlmapREADME 写得惊天动地星标两位数提交记录停在半年前。真正值得看的得同时满足三条还在持续更新、架构不是糊弄、定位清晰要么做深一个环节要么做成能自部署的平台。按这个标准筛剩下的项目可以按形态分成三类。02三类形态框架、编排、Skills第一类自主渗透框架。自己带 Agent 调度、记忆、工具链你说目标它跑流程。代表是 PentAGI、PentestGPT、Strix、PentestAgent、CAI、ARTEX。这类最像操作系统重但完整。第二类工具编排 / MCP 平台。不自己造 agent而是把 nmap、nuclei、sqlmap、metasploit 这些老牌工具用 MCP 接给大模型指挥。代表是 HexStrike AI、DarkMoon、MCP Security Hub、RedTeam-Agent。这类轻落地快适合接进你现有的工作流。第三类Agent Skills。不是独立软件是一堆写给 Claude Code / Cursor 的技能文件让编码助手化身渗透副驾。代表是 0xSteph/pentest-ai-agents。这类最轻装完就能用适合个人。还有两个 awesome 清单专门做汇总懒得一个个翻的可以直接看清单。03我愿意点开的几个带实时星标项目语言/星标一句话定位PentAGIvxcontrol/pentagiGo 约 25.3k最完整的自主渗透操作系统自然语言派六路专家 agent 在 Docker 沙箱里干活自动出报告。MIT。PentestGPT GreyDGL/PentestGPTPython 约 15.8k开山之作人机协同 copilot你掌舵它给思路。学 AI 渗透从它读起最合适。MIT。Strix usestrix/strixPython 约 66.8k自主 Web 应用测试 agent跑真实代码、出带 PoC 的报告Apache-2.0维护活跃。HexStrike AI 0x4m4/hexstrike-aiPython 约 12.5kMCP 指挥 150 安全工具12 专精 agent赏金/CTF/CVE 情报/利用生成。MIT。PentestAgent GH05TCREW/pentestagentPython 约 3.2k多智能体 RAG MCP支持单 agent / crew / interact 多模式自带 Kali 镜像。MIT。pentest-ai-agents 0xSteph/pentest-ai-agentsShell 约 2.3k28 个专精子代理侦察/Web/AD/云/报告…装进 Claude Code 即用的 Skills 包。MIT。星标为 GitHub API 实时值2026-10-06会随时间变动以仓库页面为准。完整 15 个项目地址见文末汇总。04老兵的判断它们帮得了你什么帮不了什么帮得了的信息收集、资产梳理、指纹识别、报告生成——这些重复体力活AI 比人快十倍而且不喊累。还有思路提示卡住时让它列几种可能的攻击面常常能点醒你。帮不了的前两篇我写过AI 给的 payload 十个九个跑不通幻觉照样存在。更关键的是它分不清看起来像漏洞和真的是漏洞。一个没验证的疑似 SQLi在它嘴里能说得跟真事一样。所以结论还是那句——验真假的手得是你自己的。这些 agent 跑的是真刀真枪的攻击工具。在授权靶场里它是效率杠杆出了授权边界它就是违法工具。别拿是 AI 自己干的当借口——键盘是你敲的目标你选的责任跑不掉。05怎么用才不踩线一只在你有权限的目标上跑——自有系统、书面授权的靶场、客户给的范围。二敏感数据别往外送很多框架支持本地模型Ollama或私有 API regulated 场景优先走本地别把内网拓扑喂给公有云模型。三开 human-in-the-loop让它在每步执行前等你确认别一键全自动。四留好日志出了事能复盘。把这四点当铁律AI 渗透就是趁手的好兵器丢了任何一条它就可能变成你的麻烦。06开源地址汇总15 个按上文顺序自主渗透框架https://github.com/vxcontrol/pentagi PentAGIhttps://github.com/GreyDGL/PentestGPT PentestGPThttps://github.com/usestrix/strix Strixhttps://github.com/GH05TCREW/pentestagent PentestAgenthttps://github.com/aliasrobotics/cai CAIhttps://github.com/Autumn-27/ARTEX ARTEXhttps://github.com/sec-js/redamon RedAmon早期工具编排 / MCP 平台https://github.com/0x4m4/hexstrike-ai HexStrike AIhttps://github.com/ASCIT31/Dark-Moon DarkMoonhttps://github.com/FuzzingLabs/mcp-security-hub MCP Security Hubhttps://github.com/ktol1/RedTeam-MCP RedTeam-AgentAgent Skills 与汇总清单https://github.com/0xSteph/pentest-ai-agents 28 子代理 Skillshttps://github.com/insidetrust/awesome-ai-pentest awesome 清单https://github.com/fdgnneig/Awesome-AI-Hacking-Agents 64 agent 清单https://github.com/ipa-lab/hackingBuddyGPT 学术极简约 50 行起步参考来源上述 15 个 GitHub 仓库数据截至 2026-10-06星标以 GitHub 实时为准awesome-ai-pentest 清单收录的 Deng et al. (2025) 综述与 XBOW/PentestGPT-Benchmark 评测。本文为技术盘点所有项目均仅限合法授权测试使用。想从事网络安全的同学找工作最怕“理论都懂实战发懵”。在面试中HR和面试官更看重你对真实攻防场景的理解和动手能力。为了帮大家搞定面试我帮大家准备了一份360智榜样学习中心独家《网络攻防知识库》。这份资料最大的亮点在于**“实战性”**知识库由360智榜样学习中心独家打造出品旨在帮助网络安全从业者或兴趣爱好者零基础快速入门提升实战能力熟练掌握基础攻防到深度对抗。从零到精通完整闭环基础攻防→渗透测试→应急响应→CTF实战5大模块200课时比大学教材更贴近企业实战”涵盖渗透测试案例分析与实战技巧直接对应面试真题包含CTF竞赛基础与HW行动攻防对抗实录丰富你的简历项目经验深入十大安全漏洞与利用技巧掌握这些高阶技能实战SRC挖洞赚钱。实战教学专属靶场掌握这些高阶技能谈薪更有底气。无论你是找渗透测试岗还是安全服务岗这些项目都是加分项。点击下方链接补齐实战短板拿下心仪Offer**读者福利 |***CSDN大礼包《网络安全入门进阶学习资源包》免费分享 ***安全链接放心点击**
小白/程序员必备GitHub AI 渗透利器大公开收藏起来学习网络安全本文盘点 GitHub 上最新的 AI 渗透测试工具和项目分为自主渗透框架、工具编排/MCP 平台和 Agent Skills 三类并推荐了几个热门项目。强调工具是放大器而非替身提醒读者仅限授权安全测试并提供了详细的开源地址汇总适合想要学习网络安全的小白和程序员参考。实战笔记 · PENTEST × AI 安全GitHub 上 AI 渗透的 agent、工具、skills我扒了一遍开源地址全在这最近一年AI 渗透测试这块从没东西变成挤不进去。朋友圈、群里隔三差五冒出个新 agent号称一句话就能打穿。我花了半天把 GitHub 上能搜到的 AI 渗透相关项目过了一遍按形态分了类把真正还在维护、星标过得去的挑出来开源地址整理在文末。先立住一句工具是放大器不是替身。会用的人拿它提速不会用的人拿它给自己壮胆——后者在授权测试里都容易翻车更别说别的场景。下面所有项目官方都标注了仅限授权安全测试。这句话不是客套是底线。本文只做技术盘点不提供任何利用方法。01先泼盆冷水九成是套壳真能打的就那一小撮GitHub 上一搜 “AI pentest agent”能翻出几十个仓库。点进去一半是这样一个 ReAct 循环套个 LLM调几个 nmap、sqlmapREADME 写得惊天动地星标两位数提交记录停在半年前。真正值得看的得同时满足三条还在持续更新、架构不是糊弄、定位清晰要么做深一个环节要么做成能自部署的平台。按这个标准筛剩下的项目可以按形态分成三类。02三类形态框架、编排、Skills第一类自主渗透框架。自己带 Agent 调度、记忆、工具链你说目标它跑流程。代表是 PentAGI、PentestGPT、Strix、PentestAgent、CAI、ARTEX。这类最像操作系统重但完整。第二类工具编排 / MCP 平台。不自己造 agent而是把 nmap、nuclei、sqlmap、metasploit 这些老牌工具用 MCP 接给大模型指挥。代表是 HexStrike AI、DarkMoon、MCP Security Hub、RedTeam-Agent。这类轻落地快适合接进你现有的工作流。第三类Agent Skills。不是独立软件是一堆写给 Claude Code / Cursor 的技能文件让编码助手化身渗透副驾。代表是 0xSteph/pentest-ai-agents。这类最轻装完就能用适合个人。还有两个 awesome 清单专门做汇总懒得一个个翻的可以直接看清单。03我愿意点开的几个带实时星标项目语言/星标一句话定位PentAGIvxcontrol/pentagiGo 约 25.3k最完整的自主渗透操作系统自然语言派六路专家 agent 在 Docker 沙箱里干活自动出报告。MIT。PentestGPT GreyDGL/PentestGPTPython 约 15.8k开山之作人机协同 copilot你掌舵它给思路。学 AI 渗透从它读起最合适。MIT。Strix usestrix/strixPython 约 66.8k自主 Web 应用测试 agent跑真实代码、出带 PoC 的报告Apache-2.0维护活跃。HexStrike AI 0x4m4/hexstrike-aiPython 约 12.5kMCP 指挥 150 安全工具12 专精 agent赏金/CTF/CVE 情报/利用生成。MIT。PentestAgent GH05TCREW/pentestagentPython 约 3.2k多智能体 RAG MCP支持单 agent / crew / interact 多模式自带 Kali 镜像。MIT。pentest-ai-agents 0xSteph/pentest-ai-agentsShell 约 2.3k28 个专精子代理侦察/Web/AD/云/报告…装进 Claude Code 即用的 Skills 包。MIT。星标为 GitHub API 实时值2026-10-06会随时间变动以仓库页面为准。完整 15 个项目地址见文末汇总。04老兵的判断它们帮得了你什么帮不了什么帮得了的信息收集、资产梳理、指纹识别、报告生成——这些重复体力活AI 比人快十倍而且不喊累。还有思路提示卡住时让它列几种可能的攻击面常常能点醒你。帮不了的前两篇我写过AI 给的 payload 十个九个跑不通幻觉照样存在。更关键的是它分不清看起来像漏洞和真的是漏洞。一个没验证的疑似 SQLi在它嘴里能说得跟真事一样。所以结论还是那句——验真假的手得是你自己的。这些 agent 跑的是真刀真枪的攻击工具。在授权靶场里它是效率杠杆出了授权边界它就是违法工具。别拿是 AI 自己干的当借口——键盘是你敲的目标你选的责任跑不掉。05怎么用才不踩线一只在你有权限的目标上跑——自有系统、书面授权的靶场、客户给的范围。二敏感数据别往外送很多框架支持本地模型Ollama或私有 API regulated 场景优先走本地别把内网拓扑喂给公有云模型。三开 human-in-the-loop让它在每步执行前等你确认别一键全自动。四留好日志出了事能复盘。把这四点当铁律AI 渗透就是趁手的好兵器丢了任何一条它就可能变成你的麻烦。06开源地址汇总15 个按上文顺序自主渗透框架https://github.com/vxcontrol/pentagi PentAGIhttps://github.com/GreyDGL/PentestGPT PentestGPThttps://github.com/usestrix/strix Strixhttps://github.com/GH05TCREW/pentestagent PentestAgenthttps://github.com/aliasrobotics/cai CAIhttps://github.com/Autumn-27/ARTEX ARTEXhttps://github.com/sec-js/redamon RedAmon早期工具编排 / MCP 平台https://github.com/0x4m4/hexstrike-ai HexStrike AIhttps://github.com/ASCIT31/Dark-Moon DarkMoonhttps://github.com/FuzzingLabs/mcp-security-hub MCP Security Hubhttps://github.com/ktol1/RedTeam-MCP RedTeam-AgentAgent Skills 与汇总清单https://github.com/0xSteph/pentest-ai-agents 28 子代理 Skillshttps://github.com/insidetrust/awesome-ai-pentest awesome 清单https://github.com/fdgnneig/Awesome-AI-Hacking-Agents 64 agent 清单https://github.com/ipa-lab/hackingBuddyGPT 学术极简约 50 行起步参考来源上述 15 个 GitHub 仓库数据截至 2026-10-06星标以 GitHub 实时为准awesome-ai-pentest 清单收录的 Deng et al. (2025) 综述与 XBOW/PentestGPT-Benchmark 评测。本文为技术盘点所有项目均仅限合法授权测试使用。想从事网络安全的同学找工作最怕“理论都懂实战发懵”。在面试中HR和面试官更看重你对真实攻防场景的理解和动手能力。为了帮大家搞定面试我帮大家准备了一份360智榜样学习中心独家《网络攻防知识库》。这份资料最大的亮点在于**“实战性”**知识库由360智榜样学习中心独家打造出品旨在帮助网络安全从业者或兴趣爱好者零基础快速入门提升实战能力熟练掌握基础攻防到深度对抗。从零到精通完整闭环基础攻防→渗透测试→应急响应→CTF实战5大模块200课时比大学教材更贴近企业实战”涵盖渗透测试案例分析与实战技巧直接对应面试真题包含CTF竞赛基础与HW行动攻防对抗实录丰富你的简历项目经验深入十大安全漏洞与利用技巧掌握这些高阶技能实战SRC挖洞赚钱。实战教学专属靶场掌握这些高阶技能谈薪更有底气。无论你是找渗透测试岗还是安全服务岗这些项目都是加分项。点击下方链接补齐实战短板拿下心仪Offer**读者福利 |***CSDN大礼包《网络安全入门进阶学习资源包》免费分享 ***安全链接放心点击**
)
