最近开源圈开始流行把 Agent 用到安全测试上了 PentAGI 是一个很有意思的项目。

孙凤霞

最近开源圈开始流行把 Agent 用到安全测试上了

PentAGI 是一个很有意思的项目。

给它一个经过授权的目标，它能自己拆解测试任务：

• 先搜集信息
• 再规划测试路径
• 调用 nmap、Metasploit、sqlmap 等工具执行
• 最后把过程和结果整理成报告

它不是把一个大模型塞进终端玩具项目，而是一整套多 Agent 协作系统。

长期记忆、知识图谱、网页检索和 Docker 隔离环境都在里面：前一次测试沉淀下来的路径，下一次还能复用。

这类项目真正改变的是，以前安全测试很依赖资深人员手工把工具、流程和记录串起来

现在这条链路开始可以被工程化、重复运行、方便审计。

但能力越强，就要越谨慎：只测自己拥有或明确获授权的目标。

自动化可以替你跑流程，范围、权限和最后出事了锅还是你背。

如果你想看 Agent 怎么进入真实的安全测试工作流，这个项目值得研究：
https://github.com/vxcontrol/pentagi