Vulnerator AI：让大模型自己当黑客——OODA 自主渗透测试智能体

一个真实场景：凌晨两点的渗透测试

想象一下这样的加班夜：你把一个靶场地址交给一个 AI，说"帮我把这个站测一遍"。传统做法是安全工程师打开 6 个终端窗口，依次敲 nmap、nikto、sqlmap、人工看输出、人工决定下一步——全程两三天，重复劳动占七成。

Vulnerator AI（irraz/vulnerator-ai）想做的是把这条链路压成一句话。它诞生于西班牙 Aktios 的安全团队，2026 年 10 月 15 日开源，MIT 协议，两周内星标冲过 180，每周还在以近 100 星的速度爬升。作者 Sergio Jimenez 给它取了个死亡金属风的名字，配了主题曲和赛博朋克壁纸——但内核其实非常克制。

它到底是怎么"思考"的

关键在于：这个项目里没有一行代码在跑 OODA 循环。没有调度器，没有状态机，没有 while 循环。所谓的 OODA（Observe-Orient-Decide-Act，观察-定向-决策-行动）完全是提示词诱导出来的行为，被拆成三块文件：

• profile/SOUL.md —— 给智能体设定 OODA 驾驶员的身份
• skills/pentest-ooda/SKILL.md —— 循环流程、停止规则、委派逻辑
• skills/ooda-report-handoff/SKILL.md —— 收尾时的交接格式

再叠加四个按需加载的领域技能：网络层渗透（l3-recon-pivot）、AWS 提权（aws-pacu-privesc）、Web 渗透（web-pentest）、ATT&CK 战术导航（attack-navigation）。整个"大脑"就是 Nous Research 的 Hermes 智能体，主模型用 OpenRouter 上的 Mistral Large 4，限流或报错时自动降级到 GLM-5.3 Flash。作者在配置注释里坦承：Claude 系列会因为"违规网络内容"的安全过滤直接拒答，所以选了不拒绝授权测试的 Mistral。

MITRE ATT&CK 在这里不是替代 OODA，而是当作定向阶段的思维语言——用它定位当前处于哪个战术、猜下一个可能的战术，再给每个发现打上 technique_id，让最终报告天然对齐 ATT&CK 矩阵。

四个容器的极简架构

作者反复强调"没有核心、没有 REST API、没有 UI、没有闸门"。整套系统只有四个容器：

前门设计的意图很清楚：让 Claude Code、Kiro 这类外部客户端能触发并观察一次渗透，但它永远拿不到裸 shell 工具。工具输出被当作不可信数据回传——这在智能体安全里是相当清醒的做法。

MCP 侧的工具契约也很实在：kali_run（同步阻塞 shell）、kali_exec（后台异步）、server_info（工具自检）、prowler_scan / iam_enum / iam_simulate（AWS 只读收集与权限模拟）、record_finding / read_findings（结构化发现持久化）。所有输出进 findings 存储，最后由 pentest-report 技能生成正式 Markdown 报告。

上手门槛：一个 key 搞定

安装路径短得出奇。./install.sh 检查 docker、compose v2、openssl，交互读取唯一的 OPENROUTER_API_KEY，自动用 openssl 生成两个独立密钥，写好 .env，然后 docker compose up -d --build。之后 docker compose exec -it ooda-agent hermes chat 进入 TUI。

难度不在配置，而在合规：项目默认明确声明没有 scope-guard、没有同意机制、没有审计、没有授权网关，"Hermes 想打哪就打哪"。作者提供两个可选开关——基于 CIDR/主机白名单的确定性范围闸门（fail-closed，越界记为 discarded），以及 MCP 入站 Token——但都只是"辅助"，不是防火墙。多架构（linux/amd64 + arm64）都做了，Mac M2 上原生跑 arm64。

争议与局限

必须说清楚的：这是个默认无护栏的自主攻击引擎，任何跑在非授权目标上的行为责任全在操作者。Kali 容器里是裸 shell，Prowler 配的是 AWS 真实凭据，一旦模型走偏没有刹车。其次，模型选型被安全过滤"反向绑架"（被迫用不拒答的模型），对追求一致性的团队是个隐患。仓库只有 4 位贡献者、125 次提交，代码注释密度高、质量偏好严苛（依赖锁版本、pipx 隔离 ScoutSuite、避免 PyPI 依赖混淆），但社区体量尚小。

行业意义

它代表的是 2026 年智能体安全的一个明确转向：不再把 LLM 当聊天机器人，而是当执行回路的本体。传统扫描器是"你点一下、我报一屏"，Vulnerator AI 是"我看着屏幕想下一步"。把 ATT&CK 从报告末尾的标签变成决策阶段的导航语言，这个设计比单纯的 Agent 包装更有意思。

对安全团队而言，它最现实的价值是回归训练与流程演练：仓库自带 Juice Shop、php2shell、pinguinazo-ssti 等多个可复现靶场实验室（labs/），以及一个完整的自动化测试脚本 run_agent_test.py。先在靶场跑通，再谈授权目标——这是它应有的打开方式。

结论：一个把"AI 黑客"从概念演示推到可运行工程的开源项目，架构克制（4 容器、无核心无 UI）、安全边界坦白得近乎粗暴、文档与靶场配套齐全。适合安全工程师做智能体渗透的实验底座与教学素材；不适合未经授权的目标，也暂不适合直接进生产。许可证 MIT，Python 为主，Docker Compose 一键起栈。