基于 Strix 多智能体的深度代码审计能力评估
为进一步提升公司代码安全自动化防护能力，研发中心围绕Strix多智能体网络安全渗透测试工具，针对开源Java漏洞实训平台JavaSecLab开展白盒深度代码审计与系统化渗透测试选型论证。本次评估重点考察Strix在复杂业务逻辑场景下的漏洞挖掘效能、标准化报告输出能力，以及对接CI/CD研发流水线的集成适配潜力，具体论证情况如下：
1. Strix：LLM驱动的多智能体安全审计架构
Strix是基于大语言模型（LLM）构建的自动化渗透测试工具，核心能力为多智能体协同检测。本次测评对象JavaSecLab基于Spring Boot、MyBatis‑Plus、Layui等主流技术栈搭建，Strix可实现源代码、框架配置、业务逻辑、第三方依赖组件的全域覆盖。 借助深度扫描模式，工具完成全量代码静态分析、漏洞溯源与完整数据流审计，成功识别出反序列化RCE、SQL注入、认证绕过、SSRF、XXE等多类型安全漏洞，覆盖代码层、依赖层、业务逻辑层多个风险面。
- 深度审计执行流程与多维度结果输出机制 Strix具备高自主化审计执行能力，内部调度8类专业智能体协同完成任务；以JavaSecLab深度审计任务为例，单次任务LLM调用次数约306次，Token消耗约21.5M。