企业官网建设流程全解析

CyberStrikeAI AI安全测试平台上手指南：从部署到漏洞管理

【免费下载链接】CyberStrikeAIThe system of action for AI-native cybersecurity—where intent becomes governed execution, evidence becomes operational memory, and every operation improves the next.项目地址: https://gitcode.com/GitHub_Trending/cy/CyberStrikeAI

CyberStrikeAI 是 Go 构建的 AI 安全测试平台，核心机制：自然语言指令 → AI 规划 → MCP（工具集成协议）执行 → 证据落库。它把「下任务、跑工具、记证据、出漏洞记录」的工作流收进同一个 Web 界面，免去多终端切换和手工整理报告。面向安全测试人员，前置条件仅 Go 1.25+、Python 3.10+ 和一个 OpenAI 兼容模型接口。

快速起步：三步完成部署与首跑

步骤一：获取代码并启动

git clone https://gitcode.com/GitHub_Trending/cy/CyberStrikeAI cd CyberStrikeAI chmod +x run.sh && ./run.sh

脚本自动完成环境检查、Python 虚拟环境创建、依赖下载与编译。终端出现● ONLINE并给出 Web UI 地址即为成功。默认 HTTPS 自签证书，浏览器信任一次即可；仅本机验证可加--http改用明文访问。

留意终端一次性展示的admin初始密码，登录后立即修改。更多部署方式见部署指南。

步骤二：最小配置

平台不内置大模型，唯一必配项是 AI 通道。启动前编辑config.yaml，或登录后在「系统设置 → 基本设置 → AI 通道配置」中填写：

ai: default_channel: openai-main channels: openai-main: provider: openai_compatible api_key: "sk-your-key" base_url: "https://api.openai.com/v1" model: "gpt-4o"

所有 OpenAI 兼容接口均可接入：OpenAI、DeepSeek、通义千问等。default_channel决定新对话的默认模型，单条会话也可单独切换。

步骤三：跑通第一个任务

登录后进入对话页，新建会话并输入：

扫描 192.168.1.1 的开放端口

前提是机器已安装 nmap。AI 会把指令拆解为 nmap 调用，在对话中流式输出命令与结果：开放端口、服务版本、附带文字判断。看到工具调用记录和结果解释，即为跑通。发现漏洞类结论会自动写入漏洞表，漏洞管理页可查。

功能走读：五个高频模块

对话式测试入口

解决什么问题：手工拼参数、多窗口盯执行的过程开销。从哪里进入：左侧菜单「对话」，顶部新建对话。工作方式：自然语言描述需求，AI 拆解后调用tools/目录下的 YAML 配方（内置 100+ 工具定义）；本机未安装的工具自动跳过或改用替代方案，不中断任务。产出物：对话内保留完整工具调用记录与结果解释，工具输出落盘到工作区可复查。

批量任务队列

解决什么问题：几十个目标逐个手动触发不现实。从哪里进入：左侧菜单「任务管理」。工作方式：创建队列 → 添加任务 → 设置并发数（1~8）与角色 → 开始执行。每条任务是独立对话，单队列最多容纳 10000 条任务。产出物：每条任务的状态（待处理/运行中/已完成/失败/已取消）实时可查，结果留在各自对话中，适合周期性自动评估。

角色与工具聚焦

解决什么问题：工具集不聚焦，模型在无关工具上浪费 token。从哪里进入：左侧菜单「角色」；在roles/目录新增 YAML，平台启动后自动识别。工作方式：一个角色 = 一段提示词 + 一套工具策略。内置 12+ 预置角色，覆盖渗透测试、Web 应用扫描、API 安全测试、二进制分析、云安全审计等场景。产出物：AI 的工具选择与回答风格被约束在角色范围内，结果更可预期。

name: API安全测试 description: API安全测试专家，专注于API接口安全检测 user_prompt: 你是一个专业的API安全测试专家…… icon: "\U0001F4E1" enabled: true

漏洞管理看板

解决什么问题：测试结果不落库，报告靠手工整理。从哪里进入：左侧菜单「漏洞管理」。工作方式：测试过程中 AI 自动从对话抽取结构化漏洞记录，包含严重度、类型、目标、描述与证据；页面支持筛选、搜索、批量导出。产出物：按严重/高危/中危/低危/信息五级统计的漏洞看板，状态可在「打开/确认/已修复/误报」间流转，直接对接既有漏洞管理流程。

全局仪表盘

解决什么问题：运行状态分散在多个页面，无法一眼看全。从哪里进入：左侧菜单「仪表盘」。工作方式：汇总运行中任务数、漏洞总数、工具调用次数、成功率、严重度分布与最近事件。产出物：一屏掌握测试项目全局健康度；存在未确认的严重漏洞时顶部会给出提示条。

进阶方向：三个差异化能力

1. 多代理编排（Deep / Plan-Execute / Supervisor 三种模式）

• 何时需要：侦查→利用→后渗透这类多阶段任务，单代理上下文有限。
• 如何开启：在对话页输入区选择编排模式；子代理由agents/*.md维护，共 16 个（侦察、渗透、提权、清理回滚等）。
• 注意点：token 成本高于单代理，复杂任务再启用。

2. 知识库（RAG，先检索知识再作答）

• 何时需要：回答需贴合团队方法，如历史事件 checklist、客户环境注意事项。
• 如何开启：Markdown 放入knowledge_base/目录，config.yaml设knowledge.enabled: true并配置嵌入模型，等索引构建完成。
• 注意点：检索链路为多查询改写 → 向量检索 → 精排；索引未建成时语义检索不可用。

3. MCP 联邦（接入外部工具）

• 何时需要：自研工具或商业产品要纳入 AI 统一调度。
• 如何开启：mcp.enabled: true启用内置 HTTP 服务器（默认端口 8081）；external_mcp.servers添加外部 server，支持 HTTP/Stdio/SSE 三种传输。
• 注意点：外部 MCP 默认带并发限制与熔断（agent.external_mcp_*），接入工具多时同步调整并发。

端到端实战：上线前安全评估

任务：对内部 Web 系统http://192.168.10.20做上线前检查，产出是一份漏洞清单加一张攻击链图谱，覆盖一次完整 AI 渗透测试流程。

1. 任务管理新建队列，添加「端口扫描」「目录枚举」「已知漏洞探测」三条任务，角色选「Web 应用扫描」，并发 2，开始执行。
2. 队列逐条运行，每条任务是独立对话：AI 先跑 nmap 拿服务清单，再做目录探测与 nuclei 探测；长任务自动转后台返回 execution_id，可继续等待结果。
3. 跑完进入漏洞管理：AI 已提取漏洞记录（严重度、类型、目标、证据），逐条确认，误报标记后批量导出。
4. 图谱页构建攻击链：目标、工具、漏洞按风险评分串成关系图，导出 PNG 或 SVG 附进报告。

常见问题

Q1：首次访问浏览器提示“不安全”，是不是装错了？没装错。本地默认自签证书，信任一次即可继续。生产环境在config.yaml配置server.tls_cert_path与server.tls_key_path换成正式证书。

Q2：日志报client sent an HTTP request to an HTTPS server？协议不匹配：用http://访问了只提供 HTTPS 的端口。改为https://访问；确需明文就加--http参数启动。

Q3：AI 说工具没安装，怎么办？tools/里的 YAML 只是配方，可执行文件需装在系统 PATH 中。缺失时平台自动跳过或换替代方案，不会中断任务；必须使用时按对应工具官方文档安装。

Q4：模型没响应或报 400？逐项核对通道的base_url（一般需带/v1路径）、api_key、模型名，系统设置里可直接测试。网关报 400 时，把该通道reasoning.mode设为off再试。

Q5：忘了 admin 密码还能登录吗？可以重置。项目根目录执行./run.sh --reset-admin-password，输入新密码后重启服务。若还有具备rbac:write权限的账号，在「平台权限 → 用户管理」里重置更快。

Q6：平台内置大模型吗？不内置。只对接 OpenAI 兼容接口，key 由你提供。视觉分析（analyze_image工具）可单独配置 VL 模型，在config.yaml的vision段设置。

Q7：WebShell 和 C2 能开吗？仅限自有系统或已获明确授权的环境。开启前阅读安全加固与安全模型文档，并建议同时启用 HITL（Human-in-the-Loop，敏感操作人工审批）与审计日志。

Q8：升级版本会覆盖自定义内容吗？用「系统设置 → 一键更新」或./upgrade.sh --yes。你的tools/、roles/、skills/、agents/原样保留，config.yaml与data/先备份，只有version字段随代码同步。更多问题见排错指南。

速查表与资源索引

资源索引

• 中文文档：docs/zh-CN/— 部署、配置、排错、安全模型等 30+ 专题
• 配置模板：config.example.yaml— 权威配置样例
• 工具配方：tools/— 100+ 个 YAML 定义
• 预置角色：roles/— 12+ 个场景角色
• 技能包：skills/— SKILL.md + 可选资产
• 子代理定义：agents/— 主代理与 16 个 Markdown 子代理
• 知识库文档：knowledge_base/— 放入即自动索引

【免费下载链接】CyberStrikeAIThe system of action for AI-native cybersecurity—where intent becomes governed execution, evidence becomes operational memory, and every operation improves the next.项目地址: https://gitcode.com/GitHub_Trending/cy/CyberStrikeAI