Strix

Ferramentas de análise estática apontam muita coisa que, depois de conferida, não era falha. O Strix ataca esse problema com agentes de IA que rodam a aplicação, tentam explorar o que encontram e só reportam a vulnerabilidade junto com uma prova de conceito que funciona.

Para que serve

• Testar a segurança de uma aplicação web ou API sua antes de ela ir para produção.
• Encurtar um pentest e gerar relatório com orientação de correção.
• Rodar varreduras no pipeline de CI/CD em modo sem interface, a cada mudança.
• Investigar falhas comuns da lista OWASP, como injeção, XSS, SSRF e controle de acesso quebrado.

O uso é só em sistemas próprios ou com autorização por escrito, dentro do escopo combinado. O README é direto nisso e deixa a responsabilidade legal com quem roda a ferramenta. Se o assunto é novo, o post sobre o que é pentest explica escopo e relatório.

Como começar

Você precisa do Docker rodando e de uma chave de API de um provedor de modelo (OpenAI, Anthropic, Google e outros). Também dá para apontar para um modelo local, como Ollama. A instalação e o primeiro teste:

curl -sSL https://strix.ai/install | bash
export STRIX_LLM="openrouter/z-ai/glm-5.3"
export LLM_API_KEY="your-api-key"
strix --target ./app-directory

Na primeira execução ele baixa a imagem do sandbox. Os resultados ficam em strix_runs/, e o comando strix view abre um visualizador local.

Licença e custo

Por ser Apache 2.0, o Strix pode rodar em empresa, contanto que ninguém apague os avisos da licença. O gasto vem do modelo de IA que você conectar. A empresa também tem o Strix Cloud, com cadastro gratuito e PRs de correção automáticos, e uma oferta enterprise com SSO e instalação na sua VPC. O site não publica preços.

Quando vale a pena

Times de desenvolvimento e AppSec que querem achar falhas exploráveis cedo e com evidência são quem mais aproveita o Strix. Não substitui um pentest contratado quando o contrato ou a auditoria exige um profissional responsável pelo laudo. Quem prefere conduzir o teste à mão costuma usar OWASP ZAP ou Burp Suite. O post sobre ataques agênticos mostra atacantes usando a mesma ideia.