Strix

O Strix não apenas varre; ele raciocina sobre um alvo e decide o que tentar em seguida. Cada agente executa código, envia payloads e se adapta conforme o que volta, bem como um testador humano avançando por um caminho de ataque. O retorno para você são achados que se sustentam, porque nada entra no relatório até o agente ter realmente invadido. Sem suposições.

Cada achado vem com uma prova de conceito funcional e passos de reprodução. Isso acaba com o problema de falsos positivos que assombra quase todos os scanners de vulnerabilidade, em que você passa horas separando problemas reais do ruído. Se o Strix aponta um bug, você pode ver o exploit rodando e a requisição ou o caminho de código exato que o disparou. É isso que separa uma CLI de pentest com IA de verdade de um linter disfarçado.

Uma única varredura se divide em agentes especializados em reconhecimento, exploração e pós-exploração. Eles rodam em paralelo e compartilham descobertas, encadeando problemas pequenos até formar um caminho de ataque completo. Em alvos grandes, essa divisão do trabalho dá uma cobertura que um único agente deixaria passar.

Cada agente carrega o equipamento que um testador de verdade procura: um proxy HTTP completo para ler e reescrever requisições, um navegador com várias abas para testar XSS e CSRF, um terminal interativo e um runtime de Python para código de exploit sob medida. Você não precisa montar um conjunto de ferramentas separado antes de começar.

Três níveis de profundidade deixam você ajustar o esforço ao momento. O quick termina em minutos e serve para qualquer pull request. O standard leva cerca de 30 a 60 minutos para revisões de rotina. O deep, o padrão, gasta de uma a quatro horas explorando exploits encadeados e casos extremos. Escolha conforme o tempo que você tem.

O Strix se conecta ao GitHub Actions e a outras pipelines, então os testes de segurança rodam em cada merge request. Ele retorna um código de saída diferente de zero quando encontra algo, que você pode usar como portão de mesclagem. É uma revisão de segurança de PR sem intervenção em cada commit. Também se conecta ao GitLab, Bitbucket, Slack, Jira e Linear.

Nas configurações compatíveis, o Strix gera patches de segurança como pull requests prontos para mesclar e produz relatórios de pentest prontos para conformidade. Cada achado traz uma pontuação de gravidade CVSS, uma categoria OWASP e orientação de remediação.

O agente principal é de código aberto sob a licença Apache 2.0. Você o roda localmente, inspeciona o código e faz a hospedagem própria de graça, pagando só o seu próprio uso de LLM. Essa transparência importa quando você dá a uma ferramenta de segurança acesso ao seu código.