实战笔记 · PENTEST × AI 安全

# GitHub AI 渗透一周报：本周 8 个新项目（Agent / 框架 / Skills）

2026-11-02 · 船山信安 · 数据来自 GitHub 实时 API

这一周 GitHub 上又冒出来一批 AI 渗透相关的开源项目。我们按星标、许可证、语言逐个跑 API 核验，把本号还没写过的挑出来，归成了自治 Agent、编排框架与 Agent Skills 三类。老兵的判断写在后半段——能帮你什么，帮不了什么，哪些地方会出幻觉和误报。

## 一、自治 Agent 与编排框架

这一类是主力，主打「给目标、出结果」。多 Agent 协作、ReAct 推理、从侦察到利用的编排是共同特征。每一个都只做合法授权测试场景。

**Decepticon**（BitterSecurity/Decepticon，6.5k⭐，Python）— 专业自主红队 Agent，跑完整攻击链——侦察、利用、提权、横移、C2，像真实对手那样干，而不是只扫一遍打印报告。仅限合法授权测试。

**defending-code-reference-harness**（anthropics/defending-code-reference-harness，7.7k⭐，Python）— Anthropic 官方出品的 Claude Code 安全技能集（威胁建模 / 扫描 / 分类 / 打补丁），外加一个「侦察-发现-验证-报告-修复」的自主扫描 harness。仅限合法授权测试。

## 二、Agent Skills 与知识库

这一类把「能力」和「知识」喂给通用 Agent，让 Claude Code、Copilot、Cursor 这类客户端直接调起安全动作或方法论。门槛低、落地快，适合个人装完就用。

**hack-skills**（yaklang/hack-skills，2.6k⭐，CSS）— 把渗透方法论写成 Agent 可用的技能文件，让 AI Agent 变成实战黑客，yaklang 团队出品。仅限合法授权测试。

**secknowledge-skill**（Pa55w0rd/secknowledge-skill，439⭐）— Web 与 AI 安全测试知识技能库，沉淀大量真实漏洞案例与安全文档，给 Agent 当检索型知识底座。仅限合法授权测试。

**threat-modeling**（fr33d3m0n/threat-modeling，350⭐，Python）— AI 原生的自动化软件风险分析 / 威胁建模技能，以代码为中心、用 LLM 驱动做安全评估。仅限合法授权测试。

**pentest-skills**（crazyMarky/pentest-skills，352⭐，Python）— 写给 Claude Code 的渗透测试技能集，用自然语言驱动专业级渗透（信息收集、利用、报告）。仅限合法授权测试。

**ghsa-skill-builder**（yhy0/ghsa-skill-builder，75⭐，Python）— 把 GitHub Advisory 漏洞库自动转成结构化安全技能，让 Agent 直接调用最新漏洞知识。仅限合法授权测试。

**Sec-Skills**（boqiqibo/Sec-Skills，54⭐，Python）— 面向大模型的安全 Skills 集合，覆盖常见网络安全动作。仅限合法授权测试。

## 开源地址汇总

https://github.com/anthropics/defending-code-reference-harness

https://github.com/BitterSecurity/Decepticon

https://github.com/yaklang/hack-skills

https://github.com/crazyMarky/pentest-skills

https://github.com/fr33d3m0n/threat-modeling

https://github.com/Pa55w0rd/secknowledge-skill

https://github.com/yhy0/ghsa-skill-builder

https://github.com/boqiqibo/Sec-Skills

GitHub AI渗透新项目