Strix : faire attaquer ton site par des agents IA avant les vrais hackers

Le lien du dépôt Strix et les commandes exactes pour lancer ton premier pentest automatisé sur ton site.

L'outil

Strix, open source, bientôt 50 000 étoiles sur GitHub.

Dépôt : https://github.com/usestrix/strix
Site : https://strix.ai

Description officielle du dépôt : "Open-source AI penetration testing tool to find and fix your app's vulnerabilities."

Ce que ça fait, concrètement

Au lieu de lancer un scan et de te sortir une liste de bugs potentiels, Strix déploie une équipe d'agents spécialisés en cybersécurité qui se comportent comme de vrais hackers :

ils font tourner ton app en live et la cartographient,
ils lancent de vraies attaques sur chaque vulnérabilité trouvée,
ils te donnent la preuve que la faille est réelle, parce qu'ils l'ont exploitée eux-mêmes,
ils te sortent les correctifs à appliquer, que tu peux envoyer directement dans Claude.

Installation

curl -sSL https://strix.ai/install | bash

Ou, via pipx :

pipx install strix-agent

Configurer ton modèle

export STRIX_LLM="openrouter/z-ai/glm-5.3"
export LLM_API_KEY="your-api-key"

Lancer ton premier audit

strix --target ./app-directory

Au premier lancement, l'image Docker du sandbox est téléchargée automatiquement. Les résultats sont enregistrés dans strix_runs/<run-name>.

Le brancher sur tes pull requests

À coller dans .github/workflows/ pour qu'un pentest tourne à chaque PR :

name: strix-penetration-test
on:
  pull_request:
jobs:
  security-scan:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - name: Install Strix
        run: pipx install strix-agent
      - name: Run Strix
        env:
          STRIX_LLM: ${{ secrets.STRIX_LLM }}
          LLM_API_KEY: ${{ secrets.LLM_API_KEY }}
        run: strix -n -t ./

Ce que Strix cherche

Famille	Exemples
Broken Access Control	IDOR, élévation de privilèges, contournement d'auth
Injections	SQL, NoSQL, commandes OS, SSTI
Côté serveur	SSRF, XXE, désérialisation, RCE
Côté client	XSS stocké, réfléchi, DOM, CSRF, prototype pollution
Logique métier	Race conditions, manipulation de paiement
Auth et session	Attaques JWT, fixation de session
API et cloud	Mass assignment, services exposés, mauvaises configs

L'ordre à suivre

Installe Strix.
Configure ton modèle et ta clé API.
Lance strix --target sur le dossier de ton app.
Lis le rapport : chaque finding est validé par une exploitation réelle.
Colle les correctifs proposés dans Claude et applique.

Une question sur une étape ? Réponds directement à ce message privé.