Faraday：AI 驱动的渗透测试与漏洞管理平台

当黑客工具也学会"团队协作"

想象这样一个场景：你是一个安全团队的负责人，手下有五名渗透测试工程师，每人每天用不同的扫描工具（ Nessus、BurpSuite、Nmap、Metasploit……）挖出一堆漏洞报告。你们每周开会，面对的是十几份格式不一、语言混杂的漏洞文档——有的用英文写 CVE，有的用中文描述风险等级，还有的干脆只贴了一张截图。重复漏洞没人去重，高危漏洞埋在信息噪音里，管理层看不明白，技术团队不知道先修哪个。

Faraday 解决的就是这个问题。它不是又一款"更快的扫描器"，而是一个漏洞聚合与协作平台：无论谁的工具挖到什么，都导入同一个工作区，系统自动去重、分级、生成可视化报表，让安全团队从"整理数据"中解放出来，真正去做"修复漏洞"这件事。

---

背景：为什么拉丁美洲黑客要做开源漏洞管理工具

Faraday 由阿根廷安全公司 Infobyte 主导开发，背后团队主要分布在拉丁美洲。Infobyte 本身是一家做渗透测试服务起家的公司，团队在日常项目中发现一个痛点：自己团队内部都没有办法高效管理渗透测试过程中产生的海量漏洞数据。 买商业工具？太贵且封闭。自己写脚本？维护成本高。于是他们决定自己做一款专门给渗透测试团队用的开源漏洞管理系统。

项目于 2012 年左右启动（最早的 commit 可追溯到 2014 年），至今已活跃维护超过 10 年，是 GitHub 上为数不多真正经历过大型企业生产环境检验的安全类开源项目。最新版本为 v5.23+（2026 年 8 月），保持着每月一次小版本迭代的节奏，GitHub Stars 超过 6700。

核心定位：从扫描器"数据池"到漏洞"中央情报局"

Faraday 的核心价值主张是集中化：

• 多工具数据汇入：支持 80+ 种扫描工具的报告导入（Nessus、BurpSuite、Nmap、Metasploit、ZAP、Semgrep、Trivy 等），通过 Plugin 系统解析各种格式（XML、JSON、CSV、SARIF）。
• 去重与归一化：相同 IP + 相同漏洞自动合并，不同工具发现同一问题不再重复计入。
• 可视化分析：工作区仪表板展示漏洞分布、严重程度趋势、资产风险评分。
• 团队协作：多人同时操作，漏洞评论、分配、状态跟踪全部在平台内完成。

---

核心功能：从命令行到 AI 全自动渗透测试

1. Web UI 工作区

Faraday 提供基于 Flask 的 Web 界面，访问地址 http://localhost:5985（默认）。核心功能包括：

• Dashboard：展示工作区内漏洞总数、各严重程度占比、资产列表、服务信息。
• Vulns 视图：漏洞搜索与过滤，支持按严重程度、状态、标签、CVE 编号等维度筛选。
• Workspace 管理：支持创建多个独立工作区（如按项目/客户隔离），配置时间范围和资产范围。
• Reports：生成技术报告（PDF）和高管报告，支持自定义模板，满足 PCI-DSS、ISO 27001 等合规要求。

Faraday 工作区 Dashboard：漏洞分布、资产统计、严重程度趋势一目了然

2. Faraday CLI：命令行渗透测试工作流

faraday-cli 是官方命令行客户端，允许安全工程师在终端直接操作工作区：

# 安装
pip3 install faraday-cli

# 运行扫描工具并将结果直接推送到工作区
faraday-cli tool run "nmap -sV target.com"

# 导入已有报告文件
faraday-cli tool report burp.xml
faraday-cli tool report semgrep.sarif
faraday-cli tool report trivy.json

# 查看工作区指标
faraday-cli metrics

这种方式特别适合在 CI/CD 流水线中集成：安全扫描完成后自动将结果导入，无需人工登录 Web UI 操作。

3. Faraday Agents：分布式自动化扫描

Faraday Agent Dispatcher 是一款轻量级代理工具，部署在远程机器上，可以定时或按需运行扫描任务，并将结果推送回中央服务器。它解决了"多台服务器、多套扫描工具、定期手工汇总"的运维噩梦。

支持的执行器包括：Nmap、Nessus、Nuclei、OpenVAS 等主流扫描器。可以配置扫描计划（每天凌晨两点跑全网扫描）、指定目标范围、自动去重。

4. FaradAI：AI 全自动渗透测试（核心亮点）

这是 Faraday 近年最具颠覆性的功能——完全由 AI 驱动的自主渗透测试，不是传统意义的"漏洞扫描器"。

FaradAI 是一个自主 AI Agent，运行完整的渗透测试生命周期：

• Recon（侦察）：自动化目标信息收集、子域名枚举、端口扫描。
• Exploitation（利用）：根据侦察结果自动选择攻击路径，生成并执行 Exploit。
• Validation（验证）：对每个发现的漏洞进行实际利用验证，确认真实可利用性（不是"可能存在"而是"我已经拿到了 Shell"）。
• Triage（分类）：AI 自动对所有结果进行去重、评分、优先级排序，并附加修复建议。

FaradAI 的价值在于消灭误报：传统扫描器告诉你"可能存在 SQL 注入"，FaradAI 会告诉你"我已经通过 SQL 注入拿到了数据库用户表，以下是证明"。每个漏洞都附带实际利用截图和证据，直接可以拿去向管理层展示，或者作为修复任务的依据。

FaradAI 支持 24/7 持续运行，不是一年做一次的渗透测试快照，而是持续监控攻击面变化。目前已集成到 Faraday Platform 的云端服务（Faraday Personal），也支持通过 REST API 触发。

Faraday 漏洞管理界面：所有来源的漏洞集中展示，自动去重

5. 插件生态：80+ 工具支持

Faraday 的插件分为两类：

• Console 插件：实时解析命令行工具输出（如 Nmap、SQLMap），边扫边推送到工作区。
• Report 插件：解析扫描报告文件（XML、JSON、CSV），支持批量导入。

主流支持工具包括：Nmap、Nessus、BurpSuite、Metasploit、OWASP ZAP、SQLMap、Nikto、Semgrep、Trivy、Nuclei、OpenVAS 等。

6. CI/CD 集成

Faraday 支持与 GitLab CI、Jenkins、GitHub Actions 等 CI 系统集成：

• 在代码部署流水线中加入 SAST（Semgrep）、SCA（Trivy）、DAST（ZAP）等安全扫描。
• 扫描结果通过 faraday-cli 自动导入工作区。
• 与 Jira、GitLab Issues、ServiceNow 实现双向同步，漏洞修复任务自动创建工单。

---

上手门槛：选哪种安装方式？

安装方式	难度	适合场景
Docker Compose（一键启动）	★☆☆☆☆	推荐大多数用户，官方维护 docker-compose.yaml，一条命令跑起来
Docker 单独运行	★★☆☆☆	已有 PostgreSQL 环境，需要自定义配置
PyPI 安装	★★★☆☆	已有 Python 3.11+ 环境，想直接在主机运行
Deb/RPM 包	★★☆☆☆	Debian/Ubuntu 或 RHEL/CentOS 生产服务器
源码安装	★★★★☆	开发者需要修改源码或参与贡献

安装完成后访问 http://localhost:5985，默认账号 faraday，密码在安装时生成。

硬件要求：无 GPU 依赖，CPU 主流即可，内存建议 2GB 以上（PostgreSQL + Flask + 后台任务），磁盘 5GB+ 存储扫描数据。

---

技术架构：Flask + PostgreSQL + Celery

根据项目 architecture.md，Faraday 采用典型 Web 三层架构：

Clients (Web UI / CLI / API)
      ↓ HTTP / WebSocket
Flask API Server
      ↓
PostgreSQL (主数据库)
      ↓
Celery Workers (后台任务：插件解析、数据处理)

• 后端：Python + Flask，替换了早期版本中的 Twisted 框架（v5.2+ 完成迁移至 Flask-SQLAlchemy 2.0）
• 数据库：PostgreSQL，v5.2+ 升级了 SQLAlchemy 至 2.0 和 Flask-SQLAlchemy 至 3.x
• 任务队列：Celery，用于处理大量扫描报告的解析、漏洞去重、报告生成等后台操作
• 实时通信：WebSocket（SocketIO），支持漏洞状态实时推送
• 配置：使用 faraday-manage 命令行工具管理数据库初始化、用户创建等运维操作

---

争议与局限：它不是银弹

• FaradAI 是付费功能：AI 全自动渗透测试集成在 Faraday Platform 云端，免费版（Community）不含 FaradAI。
• 非 SaaS 原生：开源版需要自己维护服务器、数据库、备份，适合有运维能力的安全团队。
• 数据库依赖：必须配合 PostgreSQL 使用，不支持 SQLite，生产环境有一定的运维复杂度。
• 与商业工具的差距：在漏洞情报丰富度、CVSS 评分自动化程度上，相比 Nessus、Qualys 等商业产品仍有差距。

---

行业意义：开源渗透测试的"协作层"

Faraday 的意义不在于又发现了一个 CVE，而在于重新定义了渗透测试团队的数据管理方式。在它出现之前，安全行业默认的做法是"每人一份 Excel"，或者干脆不做集中管理。Faraday 证明了渗透测试工作流是可以被工程化的，是可以被开源社区维护超过十年的。

近年来随着 SAST/SCA/DAST 工具的爆发式增长，工具产出的数据量远远超过了团队人工处理的能力。Faraday 定位的"漏洞数据中央层"恰好踩中了 DevSecOps 时代的安全团队核心痛点，结合 FaradAI 的 AI 自动化能力，代表了安全运营平台从"数据收集"向"智能决策"演进的趋势。

Star 趋势：项目 Star 从 2020 年的 3000+ 增长到 2026 年的 6700+，保持稳定增长，说明在安全自动化需求爆发的大背景下，持续有新的用户和企业在关注这个赛道。

---

Faraday 插件生态：80+ 工具支持，覆盖渗透测试全流程