红队圈又在疯传的自主渗透测试系统：一个社区维护版把攻击面摊开给你看

这个项目能干嘛

RuoJi6/ARTEX 是开源自主渗透测试系统 ARTEX 的一个独立维护版本，后端用 Go、前端用 Next.js。说白了，它把"让 AI Agent 自主去探索一个目标网络、发现弱点、画出资产关系"这件事做成了一套带界面的平台。它保留了原项目 Autumn-27/ARTEX 的提交历史和 AGPL-3.0 许可证，程序包从本仓库发布，Docker 镜像也由本仓库的 GitHub Actions 自己构建。对想自己搭一套攻击面探索环境的人来说，这是个开箱即用的选择。

为什么最近火了

原版 ARTEX 在自主渗透测试圈已经很有名，但上游更新节奏不一，社区里就出现了多个维护 fork。这个 RuoJi6 版本在 2026 年 10 月建仓后很快涨到 293 颗星，火的原因是它给出了"我能自己托管、自己掌控"的保证：发布包、SHA256SUMS、Docker 镜像都从本仓库走 CI 自动出，信任链清楚。对防守方来说，这类工具的价值不在"拿去打谁"，而在把它当镜子——把自己的网络喂进去，看 AI 会从哪条路径摸进来，从而补上盲区。

技术亮点

它的界面把整个渗透过程拆得很细。仪表盘给出总览、Token 消耗和活动流；任务列表和执行过程展示了每个会话里的工具调用链路；探索链路和资产覆盖图用力量导向布局把"哪些资产被摸到、覆盖到哪"画得一目了然，已测节点高亮、还能折叠展开。它还支持从 ScopeSentry 直接同步资产数据，免去重复收集；拦截审批和人在环路对话保证关键动作要人点过头；后端日志和 LLM 配置让整套跑批可控、可审计。换句话说，它把"AI 自主探索"和"人能随时叫停、能复盘"这两件事平衡得不错。

适合什么人

这里必须说清楚边界：它只应在你拥有或已获书面授权的目标上使用。对红队，它是做授权演练、快速展开攻击面探索的底座；对蓝队和防守方，它是最好的"攻击者视角"教具——你把自己的资产放进去，亲眼看看哪些入口会被 AI 优先盯上，比看十篇科普都直观；对渗透测试工具开发者，它的前端组件、审批流和资产图是现成的参考实现。

快速试用

仓库 Releases 里下载程序包，或用官方构建的 Docker 镜像 ruoji6/artex 起一套；想看界面不想跑真实扫描，官方还提供只跑前端、用模拟数据的在线 Demo（构建时开 NEXT_PUBLIC_MOCK=1），不连数据库也不调模型。

与竞品对比

和原版 Autumn-27/ARTEX 比，这个 fork 的区别在"供应链可验证"：发布物从本仓库 CI 出、带校验和，你不用赌上游哪天改了什么。和商用渗透平台比，它开源免费、可自托管、资产数据还能从 ScopeSentry 拉，适合预算有限又想要掌控力的团队。要提醒的是，自主渗透测试工具能力越强越要守住授权红线，任何在未授权目标上的使用都违法，部署前务必确认你手里的目标有书面许可。