Strix 是一个 AI 驱动的应用安全测试命令行工具（CLI）。它通过 Docker 沙箱运行扫描，使用 LLM 提供方进行推理，可评估本地目录、GitHub 仓库、在线 URL、域名以及多目标组合。
用途 Strix 用于 AI 驱动的应用安全测试，适合在获得授权的前提下对自有或明确许可的系统执行漏洞扫描。
主要能力
- 支持多种目标类型：本地目录（如 ./app）、GitHub 仓库 URL、在线 Web 应用 URL、域名或 IP，以及通过重复 --target 或 -t 实现的多目标扫描。
- 提供三种扫描模式：quick（PR 检查、冒烟测试、快速 CI 反馈）、standard（常规安全审查）、deep（默认完整评估，更长时间的漏洞赏金式探索）。
- 支持通过 --instruction 或 --instruction-file 传入凭据、范围和交战规则。
- 可在 CI/CD 中以无头模式运行，并通过退出码判断结果。
- 内置安全知识包（strix/skills/），每个任务自动选择最多 5 个相关内部技能，类别包括漏洞、框架、技术、协议和工具。
使用方式
- 安装与预检：运行 bash scripts/install.sh，确认 strix --version 成功，确保 Docker 已安装且守护进程运行。首次设置时安装程序会拉取沙箱镜像。
- 配置模型提供方：设置最低必需环境变量，例如 export STRIX_LLM="openai/gpt-5.4" 和 export LLM_API_KEY="your-api-key"。可选变量包括 LLM_API_BASE（OpenAI 兼容代理或本地端点）、PERPLEXITY_API_KEY（扫描期间网页搜索）、STRIX_REASONING_EFFORT、STRIX_DISABLE_BROWSER=true、STRIX_TELEMETRY=0。
- 选择目标与扫描模式。
- 运行扫描：可使用 bash scripts/run-scan.sh 包装脚本，或直接调用 strix。常见命令如 strix --target ./app、strix --target https://github.com/org/repo、strix --target https://staging.example.com --instruction-file ./instruction.md、strix -t https://github.com/org/repo -t https://staging.example.com。
- 查看输出并迭代：结果存储在 strix_runs/<run-name>。退出码：0 表示完成且无发现；1 表示执行或环境错误；2 表示无头模式下发现漏洞。
- 在 CI/CD 中自动化：使用无头模式，如 strix -n --target ./ --scan-mode quick。CI 运行器需要 Docker 访问权限。PR 默认使用 quick，standard 或 deep 保留给计划或发布阶段任务。
适用场景
- 对本地仓库或目录进行白盒扫描。
- 对已授权的预发布或类生产 URL 进行黑盒或灰盒扫描。
- 在 CI/CD 中执行快速 PR 安全检查。
- 结合源码与在线目标，获得更好的复现与修复上下文。
限制与注意事项
- 仅限对自有或明确授权的系统使用 Strix。
- 首次运行可能较慢，因为需要拉取沙箱镜像。
- 需将密钥保存在环境变量、密钥存储或受控的指令文件中，避免内联散落。
- 应明确范围、排除项、凭据和速率限制。
- 需区分本仓库的 strix 技能与 Strix 内部技能，避免指令混淆。
- 关于收费、价格、平台支持等具体信息，资料中暂未提供。