RAPTOR：将 Claude Code 武装成 AI 安全智能体

从一次"能不能用AI挖漏洞"的实验说起

2024年，几位在网络安全圈子里有头有脸的人物——Gadi Evron（Knostic CEO）、Daniel Cuthbert（Black Hat 评审委员会成员）、Thomas Dullien（aka Halvar Flake，逆向工程圈传奇）、Michael Bargury（Zenity CTO）——坐在一起聊了个问题：既然 AI 编程助手越来越强，攻击者已经在用 AI 来发现漏洞、自动化攻击了，那防守方呢？

答案是：开发 RAPTOR（Recursive Autonomous Penetration Testing and Observation Robot）。一个用 AI 武装 AI 的安全研究框架，可以对代码仓库或二进制程序自动执行静态分析 → 漏洞验证 → Exploit 生成 → 补丁编写的完整攻击链。

这个项目目前 GitHub 星标约 2900+，虽然作者自嘲"代码是用胶带粘起来的业余项目"，但其背后的思路和技术实现相当硬核。

RAPTOR 是什么

RAPTOR 是一个建立在 Claude Code 之上的自主安全研究框架，核心思路是：把 AI 编程助手从"帮你写代码"的角色，变成"帮你找漏洞、写 Exploit、写补丁"的安全研究员搭档。

项目采用双层架构设计：

• Python 执行层（core/、engine/、packages/、libexec/）：负责具体的代码分析工具编排，包括 Semgrep 静态扫描、CodeQL 深度分析、AFL++ 二进制模糊测试、CVE 关联分析等。所有工具通过 Python 包和 CLI 工具链实现，可独立在 CI/CD 流水线中使用（python3 raptor.py scan --repo ... 输出 SARIF 格式结果）。
• Claude Code 决策层（.claude/、tiers/、CLAUDE.md）：这是 RAPTOR 的灵魂。通过 CLAUDE.md 配置文件定义 RAPTOR 的行为规则、优先级策略、攻击场景判断逻辑，让 Claude Code 像一个有经验的安全研究员一样思考——哪些发现优先处理、哪些 Exploit 场景是真实的、补丁是否真正有效。

作者强调这个架构分离是有意为之：你可以只跑 Python 层做结构化扫描输出，也可以启动完整的 Agentic 工作流获得 AI 增强的安全研究体验。

核心功能：从扫描到补丁的全链路

RAPTOR 提供了一系列命令行工具，覆盖了从代码审计到漏洞利用的完整链路：

关键流程：漏洞验证 pipeline

RAPTOR 的 /validate 流程是其区别于普通 SAST 工具的核心。每个扫描发现都要经过 Stage A 到 Stage F 的多阶段验证：

• Stage A：这个告警是真实漏洞，还是工具的模式匹配噪声？
• Stage B：攻击者需要什么条件才能到达这里，有哪些障碍？
• Stage C：这条代码路径是否真实存在？能否从外部到达？
• Stage D：最终判断——是测试代码吗？是否需要不现实的先决条件？AI 模型是否在过度谨慎？

只有通过全部验证的漏洞才会生成 Exploit PoC 和补丁。最终还会做一个跨漏洞的关联分析，找出同一根源导致的多个漏洞和攻击链。

可插拔的分析层

RAPTOR 虽然以 Claude Code 为默认 AI 决策层，但并不绑定它。架构上支持接入任意 LLM 作为分析层，这意味着你可以用自己的 GPT-4、Claude 3 或本地模型来驱动 RAPTOR 的安全研究工作流。

代码架构一览

项目的 Python 层结构清晰：

• core/（42个文件）：底层分析组件，覆盖 AST 解析、函数分类、数据流分析、Git 操作、CVE 数据处理、Dockerfile 分析、覆盖率计算等
• engine/：对接 CodeQL、Semgrep、Coccinelle 等外部分析引擎
• packages/（27个模块）：高阶功能包，包括 autonomous（自主工作流）、exploitation（漏洞利用）、exploit_feasibility（可行性评估）、cve_diff（CVE 差异分析）、fuzzing（模糊测试）等
• libexec/（48个脚本）：每个 raptor-* 子命令对应一个可独立调用的脚本
• bin/：CLI 入口脚本

核心入口文件 raptor.py 约 4 万字符，提供了完整的命令行接口。

上手体验：安装与运行

RAPTOR 依赖以下组件：Python 3.11+、Node.js 18+、Git、Claude Code（npm install -g @anthropic-ai/claude-code）、Semgrep。

手动安装只需三步：git clone → pip install -r requirements.txt → 安装 Claude Code，即可通过 claude 命令启动 RAPTOR 并开始对话。没有 Web UI，纯命令行交互。

作者推荐的启动方式是 Devcontainer（.devcontainer/Dockerfile），约 6GB 镜像，预装了所有静态分析工具和模糊测试环境，开箱即用，但需要 --privileged 模式运行以支持 rr 确定性调试器。

部署难度评估为"简单"，纯 pip 安装即可，不需要 GPU，也不需要特殊硬件。唯一门槛是需要申请 Claude Code 的 API 访问权限。

争议与局限性

这个项目有几个值得关注的局限性：

1. Claude Code 依赖：虽然架构上支持替换分析层，但默认体验完全依赖 Claude Code，需要 Anthropic 账号和 API 访问。这不是完全免费的开源工具，运行时会有 API 成本。
2. Exploit/Patch 生成仍处于 Beta：这些功能依赖 AI 生成，代码质量参差不齐，不能直接用于生产环境，需要人工审核每个生成的 Exploit 和补丁。
3. 聚焦代码仓库：项目主要针对源代码仓库，二进制分析能力（Fuzzing、Crash Analysis）虽然存在，但上手门槛较高。
4. 安全伦理风险：自动生成 Exploit 和补丁的能力是双刃剑，RAPTOR 团队明确区分了安全操作（安装、扫描、读取、生成）和危险操作（应用补丁、删除、git push），危险操作默认需要人工确认。
5. CodeQL 许可证限制：项目中使用的 CodeQL 引擎有独立的许可证，不允许商业用途，这是需要注意的法律风险。

行业意义

RAPTOR 的出现代表了安全研究工具的一个趋势：用 AI Agent 来自动化原本需要高水平安全研究员的复杂工作流程。

传统 SAST 工具（Semgrep、CodeQL）的问题是误报率高，产出的发现需要大量人工筛选。RAPTOR 在这些工具之上加了一层 AI 决策层，通过多阶段验证 pipeline 大幅降低误报，并自动生成 PoC 和补丁。这意味着即使是非专业安全研究员的开发团队，也可以借助 RAPTOR 做深度的漏洞挖掘和安全评估。

Gadi Evron 在接受 Dark Reading 采访时说过一句话很直接："底线是：攻击者已经在用 AI 找漏洞、利用漏洞、自动化攻击了。" RAPTOR 就是防守方的回应——让 AI 来对抗 AI。

作者团队：Gadi Evron、Daniel Cuthbert、Thomas Dullien、Michael Bargury、John Cartwright
许可证：MIT（CodeQL 部分不允许商业使用）
主要语言：Python
GitHub：https://github.com/gadievron/raptor