概述：当甲方安全团队还在为每一次渗透测试按项目付费、为每一个 GenAI 应用上线前的"提示词越狱审计"按人头计费时，一批自治化的开源 AI 红队工具正在 GitHub 上集体爆发。本盘点聚焦 2026 年上半年增速最快的七款开源攻防项目——从会自己跑完整 kill chain 的"AI 黑客"strix，到专治大模型应用越狱的 DeepTeam，再到把 150+ 渗透工具封装成 MCP 的 HexStrike。它们的共同点是：把过去按"万元/次"计价的红队服务，压缩成一台装着 Docker 的笔记本。本文从变现、训练营、技术新颖度、维护活跃度四个维度给出深度评估。

筛选标准

1. strix — 自治化"AI 黑客"多智能体

仓库：usestrix/strix ｜ Star：约 25.9k（2026-06-05） ｜ License：Apache-2.0 ｜ 最近更新：< 24 小时

• 核心功能：一组自治"AI 黑客"智能体，像真人渗透测试员一样动态打应用，每个智能体自带 HTTP 代理、Playwright 浏览器、终端、Python 运行时与侦察工具，最终产出经验证的 PoC（IDOR、SQL 注入、命令注入、SSRF、XSS、鉴权与 JWT 缺陷、业务逻辑漏洞）。
• 上手难度：⭐⭐⭐⭐（需 Python 3.12+、Docker 沙箱与外部 LLM Key，token 消耗较大）
• 变现评估：这是本批变现天花板最高的项目。可包装为三档产品——① 面向中小企业的"AI 红队即服务"订阅（¥1,999/月起，按目标资产计费）；② 面向安全厂商的私有化部署套件（¥3 万–10 万/套）；③ 面向 DevSecOps 的 CI/CD 持续安全门禁插件。目标用户明确：金融、政务、医疗等强合规行业的甲方安全团队。
• 训练营评估：偏高级。适合做"自治化红队工程师"高阶训练营（2 天，¥2,999），学员收益是能独立部署一套 PoC-validated 的持续安全测试流水线。
• 差异化：最大卖点不是"能找洞"，而是用真实 PoC 验证每一个发现，号称把误报率压到极低（项目自述，需自行核验）。相比传统 DAST 扫描器的"告警洪流"，这是质的差异。

2. CAI (Cybersecurity AI) — 最可扩展的自治红队框架

仓库：aliasrobotics/cai ｜ Star：约 6.7k（2026-01-30） ｜ License：MIT ｜ 贡献者：93+

• 核心功能：一套可扩展、模块化的网络安全 AI 智能体框架，原生支持通过 Ollama 接入本地/开源大模型，可在完全离线的隔离实验室里运行。
• 上手难度：⭐⭐⭐（文档较完善，框架成熟度高）
• 变现评估：MIT 协议对商用极度友好。最佳变现路径是做"数据不出域的私有红队平台"——政务、军工、关基行业最怕敏感流量外泄，CAI 的 Ollama 本地化能力正好命中痛点。可打包为"等保/数据安全合规自动化测评"产品（¥5 万–20 万/项目）。同时适合做成面向安全厂商的二次开发 SDK。
• 训练营评估：极佳。是七款里最适合做训练营主干的——成熟、可扩展、有文档。4 小时可带学员跑通"本地大模型 + 一个 Web 靶场"的完整测试闭环，学员带走一套能离线运行的红队骨架。
• 差异化：PentestGPT 原作者团队已把重心迁到 CAI，等于"正统继承者"。它的框架级可扩展性（自定义智能体、工具、推理链）是单点工具型项目无法比拟的。

3. DeepTeam — 大模型应用专属红队（本批最强变现新星）

仓库：confident-ai/deepteam ｜ Star：约 1.9k（持续上升） ｜ License：Apache-2.0 ｜ 维护方：Confident AI

• 核心功能：一句话——"给大模型应用做渗透测试"。模拟越狱（jailbreak）、提示词注入、多轮攻击利用，挖掘 AI 智能体、RAG 管线、聊天机器人中的偏见、PII 泄露、SQL 注入等漏洞，并内置生产环境防护护栏（guardrails）。
• 上手难度：⭐⭐（设计目标就是"simple-to-use"，Python 一把梭）
• 变现评估：这是我押注的 No.1。理由：2026 年每个企业都在上线 AI 应用，但"AI 应用安全审计"几乎是空白市场，咨询公司按 10 万/项目报价。DeepTeam 把这件事开源化后，变现路径清晰：① "AI 应用红队体检报告"标准化服务（¥9,999/份，对标等保测评）；② 企业 AI 安全加固咨询（¥3 万–15 万）；③ 面向 AI 开发者的"防越狱"训练营（¥1,299，4 小时）。市场大、竞品少、门槛适中。
• 训练营评估：最契合当下热点。学员拿自己的 RAG 应用当靶子，4 小时能看到真实越狱攻击链，立竿见影。
• 差异化：其他六款打的是"传统 Web/内网渗透"，只有它打的是"AI 应用层"。这是完全不同的赛道，也意味着它不和 strix/CAI 抢同一碗饭，反而能组合销售。

4. HexStrike AI — 把 150+ 渗透工具封装成 MCP 的兵器架

仓库：0x4m4/hexstrike-ai ｜ Star：约 5.9k（2026-01-30） ｜ License：MIT ｜ 架构：MCP Server + 多智能体

• 核心功能：一个 MCP 服务器，把 150+ 安全工具接到大模型上，让 Claude/GPT 这类模型能"亲自动手"跑渗透测试、找漏洞、自动化赏金任务，全程无需人工指令。
• 上手难度：⭐⭐⭐（MCP 接入是 2026 年的通用技能，门槛逐年下降）
• 变现评估：定位赏金猎人/漏洞众测市场。可包装为"AI 自动化赏金 Bounty 机器人"SaaS（¥299/月，按有效提交抽成），或面向白帽社区的工具订阅。目标用户是个人白帽与小型 SRC 团队。
• 训练营评估：适合做"AI + 漏洞挖掘实战"中阶训练营（¥999，6 小时），学员收益是掌握"用大模型指挥 Nuclei/SQLMap/Nmap 等 150+ 工具协同作战"的工作流。
• 差异化：别人做"一个会打洞的智能体"，它做"智能体背后的工具商城"。MCP 化意味着它可以作为能力底座，被 strix、CAI 等上层框架调用——生态位独特。

5. PentAGI — 多智能体 + Docker 沙箱的全自治红队

仓库：vxcontrol/pentagi ｜ Star：约 900+（2026-01-30） ｜ License：MIT ｜ 技术栈：Go 79% + TypeScript 20%

• 核心功能：多智能体协同（研究、编码、基础设施等专职角色），所有任务跑在隔离 Docker 环境里，内置 20+ 专业工具（Nmap、Metasploit、SQLMap），自带长期记忆与 CVE 搜索，配一套现代 Web 仪表盘实时监控。
• 上手难度：⭐⭐⭐⭐（部署链路长、文档偏少，ostorlab 实测反馈"setup 复杂"）
• 变现评估：Go + TS 的工程化组合，适合做成企业级私有红队平台交付（¥5 万–15 万）。Web 仪表盘是天然的产品形态，可对接甲方 SOC。但因门槛高，更适合走 B 端大单而非 C 端订阅。
• 训练营评估：偏弱。部署复杂度劝退普通学员，更适合作为"高阶架构"案例展示。
• 差异化：沙箱隔离做得最彻底——多智能体在一个完全隔离的 Docker 容器里跑全套 kill chain，这是甲方敢在生产旁路环境试用的关键安全感来源。

6. PentestGPT — 红队 LLM 化的"鼻祖"，最好的教学样本

仓库：GreyDGL/PentestGPT ｜ Star：约 11k ｜ License：MIT ｜ 状态：原型，作者已转向 CAI

• 核心功能：三模块协同——推理模块（任务树总指挥）、生成模块（生成具体命令）、解析模块（清洗工具输出喂回系统），能在多阶段攻击中不丢上下文。
• 上手难度：⭐⭐⭐（依赖强模型，ostorlab 实测切 OpenRouter 偶有卡顿）
• 变现评估：直接商用价值已让位给 CAI，但叙事价值极高。它是"LLM 能不能打渗透"这一命题的最早证明，2023 年引爆圈层。可作内容引流利器——¥99 的"AI 红队简史"专栏、¥299 的入门直播课。
• 训练营评估：最佳入门教材。三模块设计本身就是一份绝佳的"AI 智能体架构"教案，4 小时能让零基础学员理解"为什么大模型能指挥一次渗透"。
• 差异化：开源红队赛道里唯一一个"有学术血统、有社区共识、有完整故事线"的项目，教育属性无可替代。

7. GHOSTCREW — 自然语言驱动的轻量红队新星

仓库：GH05TCREW/ghostcrew ｜ Star：约 450+（2026-01） ｜ License：开源 ｜ 架构：LLM + MCP 协议 + 可选 RAG

• 核心功能：用自然语言对话驱动红队作业，对接 18 个 MCP 兼容工具（Nmap、Metasploit、Nuclei、Hydra、SQLMap、FFUF、Masscan 等），支持聊天/工作流/智能体三种模式，内置渗透任务树（PTT）做动态决策，自动生成 Markdown 报告。
• 上手难度：⭐⭐⭐（python main.py 即可启动，无 Node 时仍可纯聊天模式运行）
• 变现评估：体量小但上车窗口期最佳。适合个人开发者快速二次开发成"中小企业一键安全巡检"小程序或 SaaS（¥199/月起）。新星项目意味着趁早参与可积累社区影响力。
• 训练营评估：中阶友好。"一句话指挥 Nuclei 扫全网资产并出报告"的反馈极直观，适合做 2 小时体验课引流。
• 差异化：把"渗透任务树 + 流式响应 + 本地知识库（wordlist/payload）"组合成一个轻量可对话的客户端，上手比 PentAGI 轻得多，能力又比纯聊天深。

工具生态分布

flowchart LR
    subgraph 攻击目标
        A1[Web/内网 渗透]
        A2[AI 应用层 红队]
    end
    subgraph 自治红队大脑
        S[strix<br/>PoC验证]
        C[CAI<br/>可扩展框架]
        PA[PentAGI<br/>多智能体+沙箱]
        G[GHOSTCREW<br/>自然语言]
    end
    subgraph 能力底座
        H[HexStrike<br/>150+工具MCP]
        P[PentestGPT<br/>三模块教学]
    end
    D[DeepTeam<br/>LLM越狱/注入] -.专属.-> A2
    S --> A1
    C --> A1
    PA --> A1
    G --> A1
    H -.被调用.-> S
    H -.被调用.-> C
    P -.架构溯源.-> C

变现潜力 Top 5 排行榜

一句话战略：把 DeepTeam（打 AI 应用）+ strix/CAI（打传统边界） 组成"AI 时代双红队"产品矩阵——前者吃 2026 年增量最大的 GenAI 合规预算，后者吃存量等保/护网预算，二者客户高度重叠却互不 cannibalize，是当下最值得押注的开源掘金组合。

参考来源

1. Open-Source AI Radar: 19 Rising GitHub Repos (June 2026) — 2026 年 6 月增速最快的开源 AI 仓库雷达，含 strix 星标（25.9k）、License 分级与成熟度评估。
2. 8 Open-Source AI Pentest Tools for Security Teams in 2026 — Ostorlab — 八款开源 AI 渗透工具横评，提供星标/提交数/贡献者/最近 commit 的对比表。
3. Top 10 Open-Source AI Agent Penetration Testing Projects — SPARK42 — 按 13 维度对 CAI、Nebula、PentestGPT、HackingBuddyGPT 等打分比较。
4. GHOSTCREW – AI-based Red Team Toolkit — Cyber Security News — GHOSTCREW 的 18 个 MCP 工具集成、PTT 任务树与自然语言红队工作流详解。
5. confident-ai/deepteam — GitHub — DeepTeam 官方仓库，LLM/智能体红队框架，覆盖越狱、提示词注入、PII 泄露等攻击向量。

[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。