引言PentAGI Penetration testingArtificialGeneralIntelligence这是「每日一个开源项目」系列的第 236 篇。今天的项目是PentAGI—— 一个开源、可自托管的全自主渗透测试多智能体系统由安全工程公司 VXControl 开发28,770 颗 StarMIT 许可证Trendshift 日榜/周榜/月榜三线趋势仓库。渗透测试这件事一直有个尴尬的现实真正懂行的安全工程师供不应求而大量重复性的侦察、工具调用、报告整理工作消耗了他们大部分精力。PentAGI 的思路是让 AI Agent 团队去承担这些重复劳动——你用自然语言描述目标系统和测试目的一组角色分工明确的专业 Agent研究员、开发者、执行者会自己规划任务、在隔离的 Docker Sandbox 里调用 20 专业安全工具完成实际测试并把过程中学到的经验存进向量数据库供后续复用最终产出一份带利用指引的漏洞报告。提醒PentAGI 明确面向安全工程师、渗透测试人员、研究者和红队仅用于已获授权的测试场景。请遵守项目的使用边界不要将其用于未授权的攻击行为。你会学到什么PentAGI 的多智能体分工架构Orchestrator 调度 Researcher / Developer / Executor三层记忆系统长期/工作/情景记忆如何让 Agent 记住攻击经验执行监控与智能任务规划如何让 32B 以下的小模型也能稳定完成复杂渗透任务快速上手从交互式安装器到首次登录Agent 访问 Docker 的两种方式及其安全边界取舍前提知识了解渗透测试的基本流程侦察、漏洞发现、利用、报告熟悉 Docker / Docker Compose 的基本概念对 LLM Agent 的工作方式有基础认识会更容易理解架构设计项目背景概述PentAGI 不是又一个调用 LLM 生成攻击脚本的工具而是一整套面向生产环境的自主渗透测试基础设施自己的服务器、自己选择的模型、持久化的记忆系统、完整的监控可观测性栈以及可以自动化集成的 REST/GraphQL API。项目同时提供企业版Enterprise增加了 Agent Profile、插件、MCP 服务器支持、客户可读报告和实时攻击链视图等能力但开源核心本身已经是一个功能完整的系统。项目数据⭐ GitHub Stars:28,770 Forks: 4,325 许可证: MIT 创建时间: 2025-01-06 核心贡献者sirozha615 次提交领衔asdek204 次、mason505293 次等多名活跃贡献者加上 dependabot 的常规依赖更新️ Topics: ai-agents, ai-security-tool, autonomous-agents, golang, multi-agent-system, offensive-security, penetration-testing, security-automation, self-hosted快速上手系统要求Docker 和 Docker Compose或 Podman至少 2 vCPU、4GB 内存、20GB 可用磁盘空间可访问互联网以拉取镜像和更新使用交互式安装器推荐PentAGI 提供了带终端 UI 的交互式安装器支持 Linux、macOS、Windows会引导你完成系统检查、LLM 提供商配置、搜索引擎配置和安全加固。# 创建安装目录mkdir-ppentagicdpentagi# 下载安装器以 Linux amd64 为例wget-Oinstaller.zip https://pentagi.com/downloads/linux/amd64/installer-latest.zipunzipinstaller.zip# 运行交互式安装器./installer安装器需要访问 Docker API 的权限生产环境建议用sudo ./installer运行开发环境可以把当前用户加入docker组但要注意这等同于赋予 root 级权限。安装器会自动完成系统检查 → 生成.env配置 → 配置 LLM 提供商支持 OpenAI、Anthropic、Gemini、Bedrock、Ollama、DeepSeek、GLM、Kimi、Qwen、MiniMax、Mistral、xAI、自定义端点等 10 种→ 配置搜索引擎DuckDuckGo、Google、Tavily、Firecrawl、Perplexity、SearXNG 等→ 生成安全凭证和 SSL 证书 → 用 docker-compose 启动服务。生产环境双节点架构对于生产部署或安全敏感场景官方强烈建议使用分布式双节点架构——把 Worker 的实际执行操作隔离到独立服务器上避免不可信代码执行和网络访问问题影响主系统。双节点架构提供隔离执行、网络隔离、带 TLS 认证的 Docker-in-Docker 安全边界以及支持带外攻击技术OOB的专用端口范围。核心剖析多智能体分工与分层记忆系统Orchestrator 调度下的角色分工PentAGI 的核心是一个由 Orchestrator协调者统筹的多 Agent 团队README 里的序列图清晰展示了这个流程初始化阶段Orchestrator 向向量库查询相似任务的历史经验向知识库加载相关上下文研究阶段Researcher 分析目标在向量库里搜索相似案例向知识库查询已知漏洞并把新发现存回向量库规划阶段Developer 规划攻击路径查询可用的利用技术和工具能力执行阶段Executor 执行计划加载工具使用指南把执行结果存回向量库这种研究员-开发者-执行者的三段式分工本质上是把渗透测试的标准流程侦察 → 规划 → 执行映射成了专门化的 Agent 角色而不是让一个通用 Agent 从头到尾大包大揽。每个角色只专注自己的子任务上下文更干净出错时也更容易定位是哪个环节的问题。三层记忆系统长期、工作、情景PentAGI 的记忆架构分成三层这是它区别于一次性对话式渗透测试工具的关键设计长期记忆Long-term Memory用 PostgreSQL pgvector 存储的向量库记录成功的攻击模式用知识库记录领域专业知识和工具使用模式——这些经验可以跨 Flow任务复用意味着 Agent 在测试过程中积累的经验不会随着一次任务结束而丢失工作记忆Working Memory当前任务的上下文状态、活跃目标、系统资源支撑单次任务执行期间的连续性情景记忆Episodic Memory历史操作记录、执行结果、成功模式——这一层记录发生过什么供后续模式提炼使用此外还有可选的 Graphiti Neo4j 知识图谱集成用于语义关系追踪和更深层的上下文理解自动捕获 Agent 的响应和工具执行记录构建一个限定在单次 Flow 范围内的知识库。链路摘要系统对抗上下文窗口膨胀渗透测试任务往往需要多轮工具调用和推理对话上下文很容易爆掉 Token 限制。PentAGI 为此设计了一套链路摘要Chain Summarization系统把对话链转换成结构化的 ChainAST 表示保留工具调用和响应的类型信息对超大的消息对做分段摘要同时保证最后一段的完整上下文不被压缩。全局摘要器和 Assistant 专用摘要器可以独立配置参数比如最后一段保留的字节数、QA 对保留数量Assistant 模式默认分配了更多上下文余量优先保留最近的对话历史。执行监控与智能任务规划专门为小模型设计的保险这是 PentAGI 最值得关注的工程细节之一。项目明确指出对于 32B 参数以下的开源模型同时开启执行监控Execution Monitoring和任务规划Task Planning是必需的而不是可选优化执行监控Adviser Agent导师角色会在检测到异常执行模式时自动介入——比如连续 5 次相同工具调用或总调用次数超过 10 次阈值可配置——分析 Agent 是否真的在朝子任务目标推进发现循环和低效后给出替代策略建议智能任务规划Planner 在专业 Agent 开始工作前先把原始请求拆解成 3-7 个具体可执行的步骤用task_assignment结构包装防止范围蔓延让 Agent 始终聚焦在当前子任务上官方用 Qwen3.5-27B-FP8 做的测试显示同时开启这两项能力后结果质量提升 2 倍但代价是 Token 消耗和执行时间增加 2-3 倍。这组数据背后的工程判断很诚实——小模型容易陷入单一思路反复试错用显式的监督机制换质量这个权衡对离线/气隔离环境下跑本地模型的场景比如企业内网渗透测试不能联网调用云端大模型尤其有意义。Agent 访问 Docker 的两种方式安全边界的真实取舍PentAGI 很多渗透测试工作流需要 Agent 的 Sandbox 内部能跑docker命令README 对此给出了两种方案并直接点明了风险差异推荐方案让 Sandbox 通过 TLS 连接一个独立加固的 dindDocker-in-Docker守护进程设置DOCKER_INSIDEtrue不挂载任何 socket只配置远程 TLS 端点不推荐方案直接 Bind-mount 一个 Docker socketDOCKER_SOCKET——这里存在两个实际问题一是容器重启时的启动顺序竞态一个还不存在的挂载源会被 Docker 当成目录创建dind 重建 socket 之前容器可能已经启动导致 socket 位置被目录占用二是如果挂载的是宿主机的 Docker socket就等于把宿主机级别的 Docker API 完全交给一个自主 Agent——它可以启动特权容器、挂载/直接攻陷整个节点包括 PentAGI 自身这段文档的坦诚程度值得称赞它没有简单地说用 Docker socket 很方便而是把两种方案的具体失败模式和攻击面讲清楚让使用者自己判断该在什么环境下用什么方案。总结PentAGI 回答了一个关于AI 渗透测试的实际问题自主 Agent 跑攻击工具这件事技术上不难难的是让它在生产环境里稳定、可控、可审计地跑下去而不是一个只能在 Demo 里炫技的玩具。三点值得注意三段式角色分工 三层记忆系统是把渗透测试的标准方法论显式编码进了系统架构。很多 AI 安全工具只是把 LLM 包了一层壳去调用工具PentAGI 把 Researcher/Developer/Executor 的分工和长期/工作/情景记忆都做成了架构里的一等概念这意味着系统的行为模式更接近一个真实的安全团队协作流程而不是单个 Agent 的自由发挥。执行监控和任务规划专门为小模型设计的坦诚态度是这个项目最值得学习的工程判断。很多开源 AI 项目默认假设你用的是顶级闭源模型PentAGI 明确给出了32B 以下模型必须开启监督机制的具体建议和实测数据这对希望在气隔离或内网环境里跑本地模型的企业用户是非常实用的指引。对 Docker 访问方式的风险披露展示了一个安全工具该有的自我审视。一个渗透测试工具如果自己给 Agent 的沙箱逃逸留了后门是很讽刺的事。PentAGI 没有回避Bind-mount Docker socket 等于把主机权限交给自主 Agent这个事实而是直接给出推荐方案和不推荐方案的具体失败场景——这种透明度在安全工具里并不常见。如果你所在的团队正在为渗透测试积累下的重复性工作寻找自动化方案并且能接受仅用于授权测试这个前提PentAGI 的架构设计值得认真研究一遍。