Strix：会自己交修复PR的AI黑客

Strix是一群开源的自主AI agent，像真黑客一样打你的应用。它自己起一个HTTP代理改请求，驱动浏览器去试XSS和CSRF，开终端跑命令，还能用Python现写exploit。最关键的一点：它不是报一堆“可能有问题”就完事。每个漏洞它都先用真实的PoC打通验证一遍，确认能打，才告诉你，然后直接给你一个能合并的修复PR。26.6k star，这周又冲上GitHub trending，虽然它其实2025年11月就发了。

现在突然火，恰恰是重点。市面上的扫描器大多是静态分析，给你一堆似是而非的告警，你还得自己一个个去验。Strix是动态跑你的代码，打通了才开口，而且能挂在CI/CD上，每个PR都过一遍。架构是个图模型：给不同目标分配专门的agent并行打，一个agent发现新线索，其他agent自动调整方向去追。

说白了，这是进攻方版本的同一个故事，这个故事我们最近在哪儿都看到它落地。agent不是给你建议，是把“找-验-修”整个闭环自己干完。它跟我们一直在报的防守那一波（Agent Browser Shield、NeuralTrust、ArgusRed）凑得太整齐了：攻击面和攻击者，同时都在变成自动的。这事是让你安心还是吓人，取决于你站在这个PR的哪一边。地址：github.com/usestrix/strix