让AI直接操盘C2？7800 Star的开源安全平台把授权渗透做成了作战系统

原创

大白
大白

知白守黑1024

2026年10月16日 06:16
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

开源上线几个月拿了 6600 Star，公网部署 2300+，然后在 9 月被微步在线（ThreatBook，X 情报社区背后的公司）收入囊中——这就是 CyberStrikeAI 过去半年的轨迹。它不是又一个「CLI 聊天框」：有控制台和 RBAC，有审计日志，甚至内置了 C2 和 WebShell 管理。名字就说明态度：AI 直接操盘。

下面按五条线拆：编排、派单、配方、刹车，以及最敏感的边界问题——AI 摸真家伙的底线在哪。技术信息来自仓库源码与官方文档；收购信息来自微步官网公告与界面新闻报道。

7801

GitHub Stars

2300+

公网部署·测绘

90

工具 YAML 配方

16

智能体定义

图 1　CyberStrikeAI 项目logo

01

三个月被巨头看上的项目，长什么样

●2026 年上半年Ed1s0nZ 开源 CyberStrikeAI，主打「AI 原生自主渗透测试」

●几个月内GitHub 星标冲到 6600+，公网部署量被测绘到 2300+，成为全球应用最广的 AI 渗透工具之一

●2026.09.15微步官网发布收购公告：纳入其 AI 渗透与红队能力体系，界面新闻等媒体次日跟进报道

●收购之后保留开源版并持续迭代（现为 v1.4.16），在此基础上推出面向企业防御场景的企业版

微步是谁：国内威胁情报头牌，X 情报社区的运营方。一家做情报的公司买下一个做「自动化攻击」的项目，看中的是什么？薛锋的表态说得很直白：

“

旧防御体系里「攻击者也需要时间」的假设已经作废……这样一种力量，不应该只掌握在黑产、APT 和破坏者的手中。我们希望把它交到认真建设这个世界的防御者手里，让能力平权，让防御者也能像攻击者一样思考和行动。

—— 微步创始人、CEO 薛锋（据界面新闻报道）

收购后的三条安排更值得细看：开源版保留且持续迭代；企业版定位「受控平台」；开源版上继续加管控机制，防止技术被滥用。最后一条和这篇文章的主线——治理——正好是同一件事，后文细看它做得怎么样。

02

先说清楚：它是个平台，不是脚本

Go 单体服务 + SQLite + 静态前端，一条 run.sh 拉起。Web 控制台、API、机器人三种入口，走的是同一个 Agent 层。平台意味着：多用户、角色权限 Scope、资源归属的 RBAC；审计日志记录每一个平台动作；漏洞、资产、批量任务都是一等公民，各自有状态流转和看板。

一键更新的处理是个好细节：拉最新代码、重编译、原子替换二进制——你的 roles、skills、tools、agents、data 原样保留；本地源码改过或历史分叉时，它直接拒绝更新而不是覆盖。一个攻击工具把「不毁用户现场」做成默认行为，这个意识很多正经产品都没有。

图 2　深色模式仪表盘：运行任务、漏洞分布、工具调用、知识库一屏总览

03

驾驶舱：四种编排模式随任务切换

底座是字节开源的 Eino ADK，原生 ReAct 执行路径已整体删除，换成四种模式：单代理（默认）、Deep（主代理 + task 子代理协作）、Plan-Execute（规划→执行→重规划闭环）、Supervisor（多专家动态路由）。

子代理的实现简单到离谱：一个 Markdown 文件。agents/ 目录下 16 个定义，13 个按杀伤链阶段分工——侦察、攻击面枚举、漏洞甄别、提权、横向移动、痕迹清理、报告，各管一段；3 个是编排主代理。加一个「专家」不需要写代码，写份 Markdown 就行。

图 3　智能体管理：16 个 Markdown 子代理，可启用、绑定工具与角色

agents/ 下的 16 个定义（Markdown 即子代理）

├── orchestrator.md

Deep 编排者

├── orchestrator-plan-execute.md    # 规划-执行主代理

├── orchestrator-supervisor.md      # 专家路由主代理

└── 13 个杀伤链阶段子代理

├── recon.md                    # 侦察

├── attack-surface-enumeration.md  # 攻击面枚举

├── vulnerability-triage.md     # 漏洞甄别

├── privilege-escalation.md     # 权限提升

├── lateral-movement.md         # 横向移动

├── persistence-maintenance.md  # 痕迹维持

├── impact-exfiltration.md      # 影响/外带

├── opsec-evasion.md            # 反检测规避

├── cleanup-rollback.md         # 清理与回滚

└── reporting-remediation.md    # 报告与修复

04

给子 Agent 派单，被写成了硬性规程

多数多智能体项目翻车在派单上：主代理一句话把活丢给子代理，而子代理看不到父对话，于是重复跑全量扫描、瞎猜目标、交回一堆没法用的碎片。CyberStrikeAI 的 orchestrator.md 把派单工程化了，几条规则，做多 Agent 系统的直接抄：

交接包强制——每次委派必须自带上下文：已枚举的子域、已扫的端口、已确认的漏洞假设，以及「本轮禁止重复什么」。原文写得很狠：「把子代理当作刚走进房间的同事——它没看过你的对话。」

四要素校验——派单前检查目标完整性，缺一个字段就禁止委派，先向用户澄清：

调用 task 前，四个字段缺一不可：

① 目标标识　URL / IP:Port / 域名+路径

② 测试范围　明确的 in-scope 资产与协议边界

③ 任务目标　本轮唯一子目标（仅侦察 / 仅验证）

④ 成功标准　子代理交付什么证据才算完成

缺任何一项：禁止委派，先澄清，

不得让子代理「自行猜测并探索」。

再加上三条：子代理禁止嵌套 task（防止委派链污染结果）；无依赖的子任务一轮并行派发；子代理结论出现矛盾时，主代理必须用「更强证据 + 可复现步骤」对齐，必要时二次派单直到自洽。这不叫提示词，这叫 SOP。

05

90 个工具配方：让 LLM 稳定开枪的弹匣

让模型直接拼 nmap 命令行，十次能对八次就不错了。CyberStrikeAI 的做法：每个工具一个 YAML 配方，命令、参数名、类型、flag、默认值全部声明式写死，模型只负责「填参数表」，拼装交给引擎。

tools/fscan.yaml（有删减）

name: \"fscan\"

command: \"fscan\"

enabled: false

默认关闭，按需启用

short\_description: \"内网综合扫描工具\"

parameters:

• name: \"target\"

type: \"string\"

required: true

flag: \"-h\"

映射到命令行参数

description: \"目标主机：IP、IP段或域名\"

• name: \"threads\"

type: \"int\"

flag: \"-t\"

default: 600

模型不填就用默认值

• name: \"additional\_args\"

format: \"positional\"

description: \"额外参数，直接追加到命令末尾\"

fscan 这一个配方就声明了 40 多个参数，连上千个默认端口的列表都写在 YAML 里。模型需要做的判断被压到最小，出错空间自然被压到最小。未安装的工具执行时自动跳过或改用替代方案，不会卡死整条任务链。

06

刹车：三层治理叠在一起

第一层，HITL 人机协同。工具执行前拦截审批。默认人工审；审不过来时可以切「审计 Agent」，用小模型接管常规审批，破坏性规则仍是硬底线。默认免审批白名单清一色只读工具，审计日志默认留 90 天。

config.yaml → hitl（有删减）

hitl:

default\_reviewer: human

先人工，逐步放权

retention\_days: 90

tool\_whitelist:

• read\_file

• ls

• glob

• grep

• tool\_search

第二层，调用拦截。独立于审批的第二道闸：默认开启「政府网站保护」，匹配 .gov、.gov.cn 及通配符写法；自定义规则用 RE2 正则，最多 100 条，参数要做三轮 URL 解码再匹配。要害在这：HITL 审批通过也覆盖不了拦截；审批后改参数，实际执行入口会再查一遍。拦截调用会给出独立「已拦截」状态并保留原因，不计入调用成功率。

第三层，输出兜底。超大工具输出截断落盘，恢复路径二次防御；流式工具参数超过阈值会被替换成 recovery marker，防止长输出把上下文撑爆或借道注入。

07

让 AI 摸真家伙：内置 C2 与 WebShell

这是标题里「操盘 C2」的出处，也是全文最敏感的部分。内置 C2 默认关闭；开启后提供完整的对象模型——Listener（监听器）、Session（会话）、Task（任务）、Payload（载荷），全套 REST API，并且注册成 MCP 工具。也就是说，Agent 从此可以：创建并管理监听器、查看上线会话、向目标下发任务、生成载荷、回收执行结果——整条 C2 链路，AI 都能直接操作。

WebShell 管理同样内置：连接管理、虚拟终端、文件操作，配上 AI 辅助工作流，从拿到 shell 到维持访问的活都能交给它打下手。

比能力更值得看的是克制。官方文档明确建议：C2 工具不进免审批白名单；角色提示词里限定项目、目标、任务类型；执行命令、上传文件、生成 payload 的步骤强制人工审批；演练结束关监听、删 payload。能力越猛的项目，越要看它怎么管住自己——这也解释了微步「在开源版上继续加管控」的收购承诺为什么可信。

图 4　WebShell 管理：连接、终端、文件操作与 AI 辅助流

08

行车记录仪 + 记忆：攻击链与知识库

渗透不是一次性会话，是可复盘的战役。CyberStrikeAI 把「项目」做成记忆载体：跨会话事实沉淀、风险评分、攻击链图谱视图、步骤回放——三个月前的测试为什么这么打、证据在哪，翻开项目就有。

知识库是标准 RAG 链路：查询改写→向量检索→精排→后处理，向量索引就放在 SQLite 里，检索动作全部有日志。视觉分析则是独立通道：截图、验证码交给专门的视觉模型，图片字节不进对话历史，只有文字摘要回来——上下文不会被图片撑爆。

图 5　知识库：RAG 链路可视化，检索日志全程可查

图 6　攻击链图谱：跨会话事实、风险评分与步骤回放

09

不开电脑也能派活：机器人与工作流

机器人接入 8 个渠道：个人微信、企业微信、钉钉、飞书、Telegram、Slack、Discord、QQ——在群里发一句话就能起任务，默认走单代理模式。

工作流画布提供 7 种节点：开始、工具、Agent、条件、审批、输出、结束，拖拽连线，可绑定角色在对话中自动执行。更好玩的是自然语言生成草稿：说一句「对目标做端口扫描，发现高危端口就建漏洞任务并通知负责人审批」，平台生成可编辑的流程草稿；检测到「执行、封禁、利用」这类高风险语义，会默认插入一个 HITL 审批节点——生成流程的 AI 自己给流程上保险。

图 7　任务管理：批量任务队列、状态流转与看板

10

上手：五步跑起来

前置要求：Go 1.25+（以 go.mod 为准）和 Python 3.10+。缺一样 run.sh 都会卡在环境检查。

git clone https://github.com/AIPentest/CyberStrikeAI.git

cd CyberStrikeAI

chmod +x run.sh && ./run.sh

run.sh 会自动完成六件事：检查 Go/Python 环境、创建 Python 虚拟环境、装 Python 依赖、拉 Go 模块、编译构建、启动服务——第一次跑要多等一会儿。

验证启动：终端出现● ONLINE和实际访问地址（默认https://127.0.0.1:8080，端口看 config.yaml 的 server.port）；自签证书首次访问信任一次即可；找到ADMIN SETUP REQUIRED下方那次性的 admin 初始密码——只显示这一次，登录后立刻改掉。要明文 HTTP 就改跑 ./run.sh --http。

配置 AI 通道：进 Web UI「系统设置 → AI 通道配置」新增通道，填 API 提供商、Base URL、API Key、模型，保存即可；通道列表支持设默认、复制、批量探活。也可以启动前直接改 config.yaml：

ai:

default\_channel: openai-main

channels:

openai-main:

provider: openai\_compatible

api\_key: \"${OPENAI\_API\_KEY}\"

base\_url: \"https://api.deepseek.com/v1\"

model: \"deepseek-chat\"

max\_total\_tokens: 120000

max\_completion\_tokens: 16384

按需装工具：不装也能跑，用到的工具执行时会自动跳过或换替代方案；要装就几条包管理命令的事——

macOS（Homebrew）

brew install nmap masscan sqlmap nikto gobuster ffuf hydra hashcat nuclei subfinder

Kali / Debian / Ubuntu

sudo apt update

sudo apt install -y nmap masscan sqlmap nikto gobuster hydra hashcat john binwalk

边界也要看清，这些是文档自己承认的取舍：单体 Go + SQLite，不天然支持多实例横向扩展；高权限工具与 Web 管理面在同一进程，部署隔离要自己做；调用拦截是文本规则，识别不了纯 IP 形式的政府目标。能把「我做不到什么」写进官方文档的项目，比吹全知全能的可靠得多。

回到开头那场收购。微步买下的与其说是 90 个工具，不如说是那套让 AI 渗透「可控」的工程框架——派单有规程、调用有拦截、动作有留痕。这套东西跟语言无关、跟工具无关，你今天就可以拿它对照自己的 Agent 项目过一遍：派单前有没有四要素？高危动作有没有第二道闸？出了事能不能回放？工具会过时，这套工程习惯不会。

免责提醒：本工具仅供教育和授权测试使用，仅限自有系统或已取得明确书面授权的目标；动手前建议先读仓库里的安全模型与安全加固指南。对未授权目标实施测试属违法行为。工具没有立场，用的人有。