H-Pentest AI Platform 是 ara.so 发布的 Security Skills 集合中的一项技能，定位为 AI 驱动的渗透测试平台，采用多智能体架构并由大语言模型（LLM）进行编排。
用途 该平台用于执行自动化安全测试，支持 CTF 模式与 RealWorld 模式两类场景，并可将测试过程与结果以任务形式管理。
主要能力 平台的多智能体系统包含以下角色：Meta Supervisor 每 3 轮生成一次洞察，决定何时停止测试，且区分 CTF 与 RealWorld 模式；Strategic Supervisor 负责生成初始测试计划，并在每轮动态调整策略；Worker Agent 使用 ReAct 框架（推理 → 行动 → 观察 → 反思）执行任务；Payload Master 每 3 轮提供测试指导，针对已识别的漏洞给出 payload 建议；Report Supervisor 分析对话历史、提取漏洞并生成攻击路径。
关键特性包括：52+ 攻击知识库（涵盖 IDOR、SQL 注入、XSS、文件上传、SSRF、XXE 等）、用于安全执行 Python 代码的 Docker 沙箱、集成工具（Nuclei 扫描器、目录扫描器、Kali Linux 工具）、RAG（检索增强生成）知识检索、实时 WebSocket 监控，以及 CTF 与 RealWorld 测试模式。
使用方式 安装可采用 Docker Compose（推荐）或本地开发方式。Docker Compose 流程为：克隆仓库、在 config.json 中配置 API key（必需项为 openai.api_key 与 dashscope.api_key，用于 embeddings）、执行 docker-compose up -d。访问点为前端 http://localhost:5173、后端 API http://localhost:8000、API 文档 http://localhost:8000/docs。本地开发时，后端需安装依赖、初始化数据库并启动服务；前端需安装依赖并运行开发命令。配置通过根目录 config.json 完成，包含模型、agent 轮数与温度、工具开关等参数；环境变量涉及 OPENAI_API_KEY 与 DASHSCOPE_API_KEY。
API 使用涵盖：创建渗透测试任务（可指定 target_url、mode、description、max_rounds）、通过 WebSocket 监控任务进度、查询攻击知识库、获取任务状态与结果、人工干预、停止任务以及生成报告。工具集成示例包括在沙箱中执行 Python 代码、运行 Nuclei 漏洞扫描、目录扫描与 Kali Linux 工具执行。
适用场景 适用于 CTF 竞赛与真实环境安全评估两类场景：CTF 模式可开启更激进的测试、自动提交 flag 并配置 flag 匹配模式；RealWorld 模式更保守、全面，可生成完整报告并遵守 robots.txt。也支持在测试过程中由人工提供指导。
限制与说明 文档中未提供关于收费、价格、平台要求或效果保证的说明。配置需要 LLM 与 Embedding 相关 API key；沙箱执行有默认 30 秒超时与 512MB 内存限制，可在配置中调整。文档亦列出常见问题排查，包括任务陷入循环、Docker 沙箱问题、API 连接错误、LLM API 速率限制与知识库无返回结果等处理方式。