2,900+Star的 AI 渗透框架，打完还替你改代码

原创

大白
大白

知白守黑1024

2026年10月7日 06:21
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

先给结论。RedAmon 是一个把整条渗透测试流水线装进 Docker 里的开源框架：从一个域名开始做侦察，交给 AI Agent 去利用，再把发现分诊、排序，最后由一个改代码的 Agent 克隆你的仓库、动手修，然后开一个 GitHub PR 等你审。

它和单点工具不在一个量级上：Shannon 那种是一次性把 Web 应用打穿，PyRIT 那种是拿着武器库去打模型。RedAmon 想做的是一整套平台——侦察、利用、记忆、修复、报告，全在一个 Web 控制台里。

01

它到底是个什么东西

官方把它拆成六根柱子，这个划分基本说清了它的野心：

侦察流水线40+ 个行业工具并行跑，从域名/网段铺出完整攻击面

AI Agent 编排LangGraph 写的自治 Agent，自己挑工具、自己换阶段

攻击面图Neo4j 知识图谱，17 类节点、20+ 种关系，Agent 的主信息源

EvoGraph攻击链记忆图，把成功和失败都存下来，跨会话累积

CypherFix分诊 + 改代码 + 提 PR 的自动修复链路

设置引擎500+ 个按项目生效的参数，摊在 16 个标签页里

技术栈是典型的\"拼装车\"，但拼得很干净：Python 3.11 写的后端服务，Next.js 16 / React 19 / TypeScript / Prisma 的前端，Neo4j 存图，PostgreSQL 存设置和会话。所有东西跑在 Docker 里，宿主机器上不装任何安全工具。控制面就是仓库根目录那个redamon.sh。

所以别把它当成一个脚本。它是一个可以放在团队里、给多个人多项目分权限用的系统。

02

分界线：找到漏洞之后它还在干活

自动化扫描器的终点通常是一份报告，它的链路拉到六段：

侦察 → 利用 → 后利用 → AI 分诊 → CodeFix → GitHub PR

前三段是攻击，第四段是判断，第五、六段是修复。中间横着一个图数据库当记忆，这也是它敢把这条链拉这么长的原因——每一步的发现都落到图上，后面的环节不用重新摸一遍。

多数工具在第 2 步收工，它往下走了四步

03

侦察：40+ 个工具，一条流水线

输入可以是一个域名、一段 IP/CIDR，也可以是一批域名轮流扫。整条流水线是fan-out / fan-in结构：每个阶段能并行多少就并行多少，收敛完再进下一阶段。写图数据库的活儿扔到后台线程，扫描不会卡在写库上。

几个值得单独拎出来的点：

子域发现用 5 个工具并行（crt.sh、HackerTarget、Subfinder、Amass、Knockpy），再用 puredns 把泛解析投毒滤掉——这一步不做，后面全是假阳性。

资源枚举塞得很满：katana + hakrawler 爬站、GAU 挖历史归档、ParamSpider 挖参数、jsluice 拆 JS、ffuf 爆破目录、ZAP Ajax Spider 跑浏览器爬取、Arjun 发现隐藏参数、Kiterunner 找 API。JS 侦察单独成层：100 条正则找密钥、21 个服务验证器验证密钥是否有效、17 类 DOM sink 检测。（不是所有服务都允许验证密钥，这个动作有速率限制。）

专项检测包括 GraphQL（graphql-cop 跑 12 项配置问题）、子域接管（Subjack + Nuclei 模板 + BadDNS 侧车，交叉去重、给置信度）、隐藏 vhost 与 SNI（2,471 条词表，L7 Host 头和 L4 SNI 双层探测）、Web 缓存投毒（Hackmanit 的 WCVS 做广度扫描，再跑一套自研的 5 阶段确认）、以及藏在 CDN/WAF 后面的真实源站 IP（44 个非 CDN 子域名词、favicon mmh3 哈希、被动 DNS 历史，逐个验证）。

漏洞面两套引擎互补：Nuclei 9,000+ 模板打 Web 层，GVM/OpenVAS 170,000+ NVT从协议层探服务，官方口径是合计 185,000+ 条检测规则，7 档扫描档位从 2 分钟到 8 小时。

还有一个别人少见的模块：对抗性 AI 攻击面侦察。先用头部/favicon/标题/路径/参数名指纹，标出目标里可能是 LLM 前端、向量库、MCP 服务、RAG 接入点的地址，然后主动确认——发聊天形状的探针看方言和流式特征、对 MCP 端点做握手和工具投毒扫描、读向量库。整个过程不发一次真实 LLM 调用。

部分侦察是个实用设计：任何一个工具都能单独重跑，最多 12 个并行，带独立日志和停止按钮，结果用 MERGE 合并回图——重复的更新，不重复创建。改了配置只想重跑 ffuf，不用把整条流水线等你一遍。

左节点属性、中攻击面图、右侦察日志

LLM 在流水线里的用法很克制。它只出现在静态查表容易飘的决策点上，官方叫 TypeSafe Jev，一共 8 个决策：这个 URL 是什么页面、Hakrawler 先爬哪个主机、ffuf 模糊测哪些目录和扩展名、这个工具是挂了还是没找到东西、Nuclei 该跑哪些 tag、前面有没有 WAF、接管是不是真的。

关键是每个挂钩点都是级联兜底：静态路径先跑，LLM 只是加一层，最后还有确定性兜底。所以 LLM 服务挂了，最多是判断变笨，不会让这次扫描整体失败。

04

Agent：会换招，也会叫人

核心 Agent 是 LangGraph 写的 ReAct 实现，分三个阶段走：信息收集（查图、Shodan、Google dorking）→利用（Metasploit、Hydra 撞凭据、社工模拟）→后利用（枚举、横向移动）。工具经 MCP 协议跑在 Kali 沙箱里（network\_recon、nuclei、nmap、metasploit、playwright 五个服务器），支持 Wave Runner 并行执行。

几个我认为是认真设计过的机制：

Fireteam（并行专家子 Agent）。当一个目标能拆成互不干扰的几条线（认证面、路由图、头部策略，或者 5 个待验证的 CVE），根 Agent 会散出一队专家子 Agent 并行干活，最后汇总成一个统一视图。官方把这种模式叫 Scatter-Gather ReAct。约束也很硬：禁止递归（子 Agent 不能再散子 Agent），每一波有人数上限、每人有迭代预算和墙钟超时。多个子 Agent 同时等你审批危险工具时，是各自弹面板，不串行堵住。

Deep Think（先想再打）。在架构上有意义的节点，Agent 会先产出一份结构化推演：现状 → 竞争假设 → 攻击向量 → 方案 → 风险。规则是必须列出至少两个解释，每个都配一个能区分它们的具体探测——这是明着对抗确认偏误。写出来的方案如果只是把上一份失败方案换个说法，会被 Jaccard 新颖度检查打回，还有冷却时间限制。

生产力治理器。五个观测信号合成一个分级评分，其中一个叫\"轴锁定\"检测：反复爆破同一根拧死的旋钮，哪怕每次换词表，也记成重复劳动。还有一个状态膨胀信号由编排层自己算，Agent 没法靠虚报糊弄。

底下是一台 14 节点的 LangGraph 状态机，用 PostgreSQL 存检查点。跑几个小时的会话如果中途重启，能接着跑。

右侧并行分派的子任务，左侧图同步标出命中节点

工具清单里有几个值得一提。query\_graph 是主信息源，几乎每个决策前都会查；cve\_intel 聚合 NVD + CISA KEV + EPSS + HackerOne + GitHub PoC + Nuclei 模板可用性，69 个可过滤字段；kali\_shell 是一个带去重武器库的完整 Kali shell（含 linpeas、winPEAS、BloodHound、Certipy、jwt\_tool、betterleaks、semgrep 等，70+ CLI 工具）；proxy\_brain 则是让 Agent 直接写 Python 去打已抓取的 HTTP 流量，而不是从一个固定菜单里选动作。

人始终能插进去：危险工具有逐工具的确认门（Allow / Deny / 改参数），聊天里可以随时喊停、续跑、给方向。

05

它的记忆不在上下文里，在图里

这是 RedAmon 和\"给 LLM 一堆工具让它自己玩\"最本质的区别。侦察和生产的所有东西都落进 Neo4j：17 类节点、20+ 种关系，从域名、子域、IP、端口、服务，到端点、参数、密钥、技术栈、漏洞、攻击链。Agent 每次决策前先查这张图，自然语言翻成 Cypher 再读。

EvoGraph 是它的第二层记忆，记的是过程：每次工具调用、每个发现、每次失败、每个关键决策。官方给的说法是结构化链路上下文替换平地摊开的执行记录之后，Agent 效率提升 25%+。更实际的价值在跨会话：新开一个会话，它已经知道之前试过什么、什么管用、什么撞过墙。同一项目还能同时开多个会话并行打，各自建自己的攻击链，但起点带着全部历史。

攻击面在 Neo4j 里的形态，紫色为子域

Insights 仪表盘，30+ 张图表分四个板块

06

打完还负责修，这才是它的招牌

CypherFix 由两个 Agent 接力，分工很清楚。

分诊 Agent给图里每一条发现打分，模型是写死的乘式：有多像真的 × 有多可能被利用 × 后果多严重 × 有多容易够到。然后把\"共用一个修复\"的发现归成一组，再由 LLM 核对每一组的证据。这里有条我很欣赏的边界：模型只负责修正因子，永远不产出分数，它给的每一句引用都要和送进去的证据比对验证，而且它绑不了任何工具。就算一个模型都不配，排序依然是完整可用的。

改代码 Agent克隆你的仓库，用 11 个代码工具翻代码、动手改、开 PR。因为克隆下来的仓库是不可信的，它的构建和测试命令跑在一个独立的、没有密钥的沙箱容器里，GitHub token 也不进这个沙箱。

修复时间盲注，左旧代码、右新代码，下方自检 diff

顺手带的其他东西也不含糊。密钥侧有两个模块：GitHub 密钥猎人（40+ 正则加熵分析，扫仓库、gist、提交历史），以及密钥多扫描器——14 类目标、1,060 个检测器，覆盖 git 仓库、GitHub（含已删除提交）、GitLab、Docker 镜像仓库、Hugging Face、S3、GCS、Jenkins、Postman、CI 配置等。它的特别之处是会拿找到的凭据去调对应服务的 API，所以一条发现能告诉你这个密钥到底还活着、已经失效，还是没验证过。每个来源跑在各自加固过的容器里，一次只带一个凭据、不给图访问权限，所以多个来源可以并行扫。

供应链方向是完全离线的 OSV 库比对，分三层：上传 SBOM/lockfile 审计、侦察时黑盒采集目标实际在跑的 npm 包集、以及给 Agent 用的按需工具。三层共用一个引擎和一套图模型。不可信字节（包 tarball、目标站的 JS）一律在加固过、无密钥、断网的 DIRTY 沙箱里处理。

最后落到报告：11 个章节的 HTML 客户端报告，配了模型的话其中 6 段会有 LLM 生成的叙述（执行摘要、风险分析、修复优先级）。

07

装机：要什么，怎么跑起来

先说前置条件，因为它出奇地低：只要 Docker 和 Docker Compose v2+。宿主机不需要 Node.js、不需要 Python、不需要预装任何安全工具，全在容器里。

轻量模式（默认）2 核 CPU / 4 GB 内存 / 80 GB 磁盘，起 7 个容器：webapp、postgres、neo4j、agent、kali-sandbox、recon-orchestrator、docker-broker

完整模式（带 OpenVAS）4 核 CPU / 8 GB 内存（建议 16 GB）/ 110 GB 磁盘，多起 4 个常驻容器和约 8 个初始化容器，首次启动要等约 30 分钟同步漏洞库

真要长期跑官方建议再留 100 GB 给运行数据。也就是不带 OpenVAS 按 200 GB 规划，带的话按 250 GB 规划——Neo4j 攻击图、扫描产物、Postgres、容器日志都会长

安装

● ● ●BASH

1. 拉代码

git clone https://github.com/samugit83/redamon.git

cd redamon

2. 轻量装（7 个容器，装完直接可用）

./redamon.sh install

3. 想要网络层漏洞扫描，加 --gvm

想要本地知识库（RAG 检索），加 --kbase，两个可以叠加

./redamon.sh install --gvm --kbase

装完脚本会提示你建管理员账号：名字随便填，邮箱用来登录，密码至少 12 位。如果首次启动太慢把提示跳过了，补一条./redamon.sh create-admin就行，重复执行也安全（邮箱已存在就重置密码，新邮箱就多一个管理员）。

然后打开http://localhost:3000登录。配置全在/settings页面（页头那个齿轮图标）里点，不需要手写 .env。模型侧支持 OpenAI、Anthropic、OpenRouter（300+ 模型）、AWS Bedrock，以及任何 OpenAI 兼容端点（Ollama、vLLM、LM Studio、Groq 都算），每个 provider 可以先测再存。官方口径是 5 家 provider、400+ 模型。

日常管理

● ● ●BASH

./redamon.sh status      # 看服务、版本、GVM 与知识库状态

./redamon.sh update      # 只重建改动过的镜像，数据卷一个不删

./redamon.sh down        # 停服务，保留数据

./redamon.sh logs        # 类似地，supply-chain-sync 用来灌离线 OSV 库

想放到公网服务器，用官方那套加固部署

它会把整套东西塞到 nginx + TLS 后面，再加防火墙、SSH 加固和 fail2ban

cd tooling/deploy/single-host

cp .env.example .env   # 填 HOST\_IP、DOMAIN、SSH\_KEY\_PATH 等

./deploy.sh init        # 首次构建 30-60 分钟

项目设置弹窗，16 个标签页、500+ 参数

更新是这套东西里少见的体贴：update会拉最新代码、比对哪些 Dockerfile 和源文件变了、只重建受影响的那几个镜像，数据库、扫描结果、报告一律保留，卷从不删。

08

实测成绩：XBOW 104 题，解出 101

XBOW 的 validation-benchmarks 是 104 个自包含的 Docker 化 Web 靶场，每道题藏一个真能被利用的漏洞——IDOR、SQL 注入、SSRF、SSTI、XXE、不安全反序列化、路径穿越、认证与业务逻辑绕过、密码学弱实现等等。只有从活靶子里掏出准确的 flag 字符串才算解出，目前是自治 Web 利用 Agent 事实上的公共尺子。

RedAmon 的成绩是101 / 104，97.1%，全程黑盒——只给一个不透明的 http://lab-XXXXXXXX/ 地址，没有凭据、没有源码、没有 README 提示，也不知道漏洞类型。

跑这套成绩的模型值得注意：主力是 DeepSeek V4 Pro，开场几题用 V4 Flash，另有少量 Kimi K3 和一次 K2.6。三个没解出来的是 HTTP 请求走私/反同步（Kimi K3）、越权加业务逻辑（V4 Flash，输入烧了 553 万 token）、以及密码学实现（V4 Flash）。也就是说，掉队的两个都发生在更便宜的模型上。

这份成绩单最让我信服的地方不是数字本身，而是它敢把底料摊开：101 个成功目标，每一个都附了未经剪辑的完整 Agent 会话记录，外加一份逐步解码的攻击链复盘，你能翻到它是怎么一步步拿到 flag 的。有人会说这等于公开了作弊路径，但这套东西本来就不是闭卷考试。

几点必须说清楚：这个评测没有 XBOW 的背书或认证，两边是独立项目；为了让老靶场在新 Docker 上跑起来，他们做了最小的兼容性修补（compose 语法、EOL 软件源指向 archive.debian.org），官方强调这些改动不碰攻击面、不碰胜利条件、不碰 flag。另外 XBOW 榜单本身不设超时、不设工具调用上限、不设 token 预算、不限制模型——打法完全由攻击方决定，这也是读这类分数时该带上的前提。

它还自己出了一份自评审计：对着 397 类 Web 漏洞赏金发现逐条打分，写清每一类由哪个模块、技能或扫描器负责，134 类已完成、210 类在待办、44 类明确不做，每一类都给了一条决策记录。先把做不到的写出来，比只报能做的更有信息量。

09

边界和红线，写得很清楚

一个进攻工具敢不敢放进企业里，看的不是能力，是约束。RedAmon 在这块写得比多数同类要实。

一条不能关的硬护栏。政府、军队、教育和国际组织域名（.gov、.mil、.edu、.int）由确定性规则永久拦截，不提供关闭开关，跟你怎么配都没关系。上面还有一层 LLM 护栏，在项目创建和 Agent 初始化时拦住未授权域名。

交战规则（RoE）能上传。丢一份 PDF / TXT / MD / DOCX 进去，它会自动把项目参数配好，并在两层强制执行：侦察流水线侧管排除主机、速率限制、时间窗口，Agent 侧管提示注入、严重级别阶段上限、工具限制。

隔离做到了容器级。每个工具、扫描器、Agent 各自一个容器，宿主上没有执行。扫描任务以临时兄弟容器起，自带文件系统和网络命名空间，干完就销毁。最关键的一层是docker-broker：一个过滤式的 Docker socket 反向代理，扫描容器只能通过它启动白名单里的已知工具镜像，--privileged、宿主 root 挂载、危险 capabilities 全部拒绝。整套平台还按 STRIDE 方法做过端到端威胁建模，修复按波次上线，每波都用真实漏洞复现验证过修复前后。

默认关着的那些功能也说明态度：AI 对抗测试、HTTP 流量抓取、Web 缓存投毒检测、源站 IP 发现，全都是默认关闭、按项目开。默认失败即拒绝（认证令牌没设就拒服务）、默认库凭据直接拒绝并要求轮换、出网有 SSRF 护栏、日志做密钥脱敏、审计记录只追加。

许可这块有个坑得提醒：项目本体是 MIT，但 Kali 沙箱镜像里打包了WPScan，它走 WPScan Public Source License，把它用于商业产品、SaaS 或增值服务需要单独授权，渗透测试项目和个人使用没问题。此外 BadDNS 等 AGPL 组件是以隔离侧车的形态集成的。

最后一条红线来自官方自己：RedAmon 默认只适合跑在本机，它本身不带面向公网的安全控制。想放到公网服务器，就必须走那套加固部署——官方明确写了，把未加固的原始堆栈直接摆在公网 IP 上，等于把内部服务裸奔，后果自负。

上手之前，先想三件事

授权是唯一的底线。硬护栏拦得住 .gov 和 .mil，拦不住你手填一个不属于你的域名。这个工具跑起来是有真实攻击流量的，扫之前先确认你有书面授权。

别把它裸着放公网。本机跑是最省心的用法。要共享给团队，就用官方那套 single-host 部署，它有 nginx + TLS、防火墙、SSH 加固和 fail2ban，而且只暴露一个 HTTPS 入口，其他服务全绑在回环地址上。

它是第一遍筛子，不是终审。RedAmon 打的是\"能被实际利用\"的那类洞——XBOW 那 104 题里，它跨了 8 个不同的漏洞家族。但覆盖不是全的：它自己那份 397 类自审里，134 类完成、210 类待办、44 类明确不做，每一类都给了一条决策记录。所以它能证明\"打穿了\"，不能证明\"没洞\"。

顺带一句，官方放了 RedAmon HackLab 和一批 guinea pigs（故意留洞的 Docker 靶子）。拿自己的靶场先跑一遍，看它怎么思考、怎么换招、卡在哪，比直接对着真实资产下手靠谱得多。

一个 2,900+ 星的项目，把侦察、利用、记忆、修复、报告全塞进了一个 Docker Compose 里，MIT 放出来。这件事本身就值得看一眼。

项目地址 github.com/samugit83/redamon