Vibe Pentest（氛围渗透）是一款模拟人类安全专家思维挖掘漏洞的 AI 渗透测试工具，采用多 Agent 并行执行架构，能够对 Web 应用、API、管理后台等进行全面的黑盒渗透测试（包括业务逻辑漏洞评估），输出稳定可靠的安全报告，并提供可落地的整改建议。
项目地址：https://github.com/ok-helloworld/vibe-pentest
## 流程示意图

[](https://github.com/ok-helloworld/vibe-pentest/blob/main/README.md#%E6%B5%81%E7%A8%8B%E7%A4%BA%E6%84%8F%E5%9B%BE)

[![流程示意图](/media/202609/e7dc2e85581847958fcf70ea6d2fc3c72442.png)](https://github.com/ok-helloworld/vibe-pentest/blob/main/vibe-pentest_v1.1.png)

## 提示词示例（强烈推荐使用）

| Agent           | 检测方向                          | 何时可跳过                                       |
|-----------------|-------------------------------|---------------------------------------------|
| injection-agent | SQLi、XSS、SSRF、RCE、SSTI 等注入类漏洞 | 不建议跳过，大部分 Web 应用均需检测                        |
| poc-agent       | 基于指纹匹配已知 CVE/POC 验证           | 不建议跳过，指纹识别后可自动匹配已知漏洞，投入产出比高                 |
| api-agent       | API 安全、BOLA/BFLA、隐藏接口、过度数据返回  | 不建议跳过，现代 Web 应用普遍暴露 API 接口，未授权访问和越权是最高频的攻击面 |
| auth-agent      | 认证绕过、暴力破解、会话管理、CSRF、用户枚举      | 不建议跳过，有登录/鉴权功能就必须检测                         |
| file-agent      | 文件上传/下载/包含、路径穿越、Zip Slip      | 无文件操作（上传/下载/导入/预览）的纯数据应用可跳过                 |
| business-agent  | 业务逻辑绕过、竞态条件、价格篡改、优惠券滥用        | 无交易/订单/支付/积分/配额的信息展示类站点可跳过                  |
| misc-agent      | 安全头缺失、开放重定向、点击劫持、CORS         | 不关注中低危信息类问题时可跳过                             |

## 三分钟教学视频

[](https://github.com/ok-helloworld/vibe-pentest/blob/main/README.md#%E4%B8%89%E5%88%86%E9%92%9F%E6%95%99%E5%AD%A6%E8%A7%86%E9%A2%91)

AI 渗透过程中，要确保智能体软件会调用多个不同角色分工的 Agent 并行渗透，
否则会影响渗透质量和效率。

视频包含智能体软件安装介绍、多 Agent 并行渗透演示：[氛围渗透（Vibe Pentest）3 分钟使用教程](https://www.bilibili.com/video/BV1RiGX6rESQ/)

智能体AI安全专家渗透