用途：通过 app.strix.ai 的 REST API 无界面驱动托管版 Strix 自主渗透测试，扫描在平台基础设施上运行，结果汇总到团队仪表盘。适合沙箱/托管智能体与 CI 环境、团队协作及定时持续测试；若需完全本地、免费、离线或自带 LLM，应改用开源 CLI（strix-pentest），两者引擎与 SARIF 输出一致，可混用。
主要能力：注册域名（web_app/api/attack_surface，外部扫描前需域名验证）与代码仓库（owner/name）资产；发起扫描（engagement_type 支持 live_test、code_review、internal_infra、compliance_pentest，可指定 domain_ids、repository_ids、internal_targets、路径/分支、凭据含 MFA、自定义请求头、focus/concerns/context、上传附件、完成通知）；轮询状态 pending→running→completed/failed/cancelled；读取执行摘要、方法论、建议、严重度汇总与漏洞明细（title、severity、cvss、cwe、endpoint、poc 等）；跨扫描组织级漏洞筛选与状态更新；导出 SARIF 2.1.0 与报告；触发 PR 安全审查；配置定时扫描与 Webhook。
使用方式：Base URL 为 https://app.strix.ai/api/v1，每个请求带 Authorization: Bearer <token>，令牌按组织划分，在仪表盘 Settings → API Access 创建，按最小权限分配 scans、vulnerabilities、assets、schedules、pr_reviews、webhooks、tokens 等作用域并定期轮换，存入环境变量或 CI 密钥库，切勿硬编码或提交。示例：export STRIX_API_TOKEN="<token>"；BASE=https://app.strix.ai/api/v1。扫描针对已注册资产而非原始 URL，先注册再复用返回的 UUID。
限制：报告下载及 technical 以外格式、DOCX、白标品牌属 Enterprise 计划功能，扫描须已完成；定时扫描属 Pro 计划；内部基础设施目标需网络连接器；错误码 401 令牌无效/过期、402 额度不足、403 作用域或计划层级限制、422 校验失败。仅可扫描组织拥有或获授权测试的资产，外部域名扫描须通过平台强制的 DNS/文件/元标签验证，不得绕过。完整参考见 docs.app.strix.ai，OpenAPI 见 https://docs.app.strix.ai/openapi.json。