strix

strix - AI 駆動のアプリケーションセキュリティテスト

キーワード：strix · ai pentest · vulnerability scan cli · strix ci

Strix は、自身が所有するシステム、またはテストを明示的に許可されているシステムに対してのみ使用してください。

Strix は AI 駆動のアプリケーションセキュリティ CLI です。Docker ベースのサンドボックス内でスキャンを実行し、推論には LLM プロバイダーを使用します。ローカルディレクトリ、GitHub リポジトリ、稼働中の URL、ドメイン、および複数ターゲットの組み合わせを評価できます。

このスキルを使用するタイミング

• Strix をインストールし、Docker とサンドボックスの準備状況を確認する
• STRIX_LLM、LLM_API_KEY、任意の LLM_API_BASE、および関連する実行時設定を構成する
• リポジトリまたはディレクトリに対して、ローカルのホワイトボックススキャンを実行する
• テストが許可されているステージング環境または本番環境に近い URL に対して、ブラックボックスまたはグレーボックススキャンを実行する
• --instruction または --instruction-file で認証情報、スコープ、またはエンゲージメントルールを指定する
• 適切なスキャン深度（quick、standard、deep）を選択する
• CI/CD で Strix をヘッドレス実行し、終了コードを解釈する
• Strix 内部のセキュリティ「スキル」と、このリポジトリのスキルとの違いを理解する

手順

ステップ 1：インストールと事前確認

1. bash scripts/install.sh を実行します
2. strix --version が正常に実行されることを確認します
3. Docker がインストールされ、デーモンが稼働していることを確認します
4. 意図的にスキップする場合を除き、初回セットアップ時にインストーラーがサンドボックスイメージを取得するのを待ちます
5. 手動インストールの代替方法と直接実行するコマンドについては、references/commands.md を参照してください

ステップ 2：モデルプロバイダーを構成する

スキャンを実行する前に、最低限必要な環境変数を設定します。

export STRIX_LLM="openai/gpt-5.4"
export LLM_API_KEY="your-api-key"

任意の実行時変数：

• OpenAI 互換プロキシまたはローカルエンドポイント用の LLM_API_BASE
• スキャン中のウェブ検索用の PERPLEXITY_API_KEY
• モデルの推論処理を調整する STRIX_REASONING_EFFORT
• UI の自動操作が不要な場合の STRIX_DISABLE_BROWSER=true
• テレメトリーの既定値を無効にする STRIX_TELEMETRY=0

プロバイダーの例、設定ファイルの形式、任意の環境変数については、references/providers-and-config.md を参照してください。

ステップ 3：ターゲットとスキャンモードを選択する

Strix は次のターゲットタイプを受け付けます。

• ローカルディレクトリ：./app
• GitHub リポジトリ URL：https://github.com/org/repo
• 稼働中のウェブアプリ URL：https://staging.example.com
• ドメインまたは IP
• --target または -t を複数回指定する複数ターゲットスキャン

スキャンモード：

• quick：プルリクエストのチェック、スモークテスト、CI での迅速なフィードバック
• standard：通常のセキュリティレビュー
• deep：既定の包括的な評価と、より長時間にわたるバグバウンティ形式の探索

モードの詳細と CI に関するガイダンスは、references/scan-modes-and-ci.md にあります。

ステップ 4：スキャンを実行する

繰り返し実行できるラッパーとして bash scripts/run-scan.sh を使用するか、strix を直接呼び出します。

よく使う直接実行コマンド：

strix --target ./app
strix --target https://github.com/org/repo
strix --target https://staging.example.com --instruction-file ./instruction.md
strix -t https://github.com/org/repo -t https://staging.example.com

認証情報またはスコープを指定したテストが重要な場合は、長いインラインプロンプトよりも --instruction-file を使用してください。認証情報、除外項目、エンゲージメントルールを明示し、レビュー可能な状態に保てます。

ステップ 5：出力を確認して繰り返す

Strix は結果を strix_runs/<run-name> に保存します。

覚えておくべき終了コード：

• 0：検出結果なしで完了
• 1：実行または環境のエラー
• 2：ヘッドレスモードで脆弱性を検出

実行時の成果物を確認し、Strix がテストした内容、検出した内容、修正後に再検証が必要な内容を把握してください。

ステップ 6：CI/CD で自動化する

自動化ではヘッドレスモードを使用します。

strix -n --target ./ --scan-mode quick

CI ランナーには Docker へのアクセスが必要です。プルリクエストでは、既定で quick を使用し、standard または deep は定期実行ジョブやリリース段階のジョブ用にします。references/scan-modes-and-ci.md と scripts/ci-scan.sh を参照してください。

ステップ 7：Strix の内部スキルを理解する

Strix は、strix/skills/ に独自の内部セキュリティナレッジパックを備えています。これらは、このリポジトリのエージェントスキルとは異なります。

• Strix はタスクごとに、関連する内部スキルを最大 5 つ自動選択します
• カテゴリには、脆弱性、フレームワーク、テクノロジー、プロトコル、ツールが含まれます
• これらの内部スキルは、スキャン中に Strix エージェントの動作を強化します

「スキル」が両方のエコシステムで同じ意味だと決めつける前に、references/built-in-skills.md を参照してください。

例

例 1：ローカルリポジトリの PR をすばやくスキャンする

export STRIX_LLM="openai/gpt-5.4"
export LLM_API_KEY="your-api-key"
strix -n --target ./ --scan-mode quick

例 2：GitHub リポジトリを標準スキャンする

strix --target https://github.com/acme/payments --scan-mode standard

例 3：ステージング URL をグレーボックススキャンする

strix --target https://staging.example.com \
  --instruction-file ./instruction.md \
  --scan-mode deep

例 4：リポジトリと稼働中のターゲットを組み合わせる

strix -t https://github.com/acme/payments \
  -t https://staging.example.com \
  --instruction "Correlate source paths with exposed runtime issues"

例 5：ブラウザーを無効にした API 中心のスキャン

STRIX_DISABLE_BROWSER=true \
strix --target https://api.example.com --scan-mode standard

例 6：スクリプト実行用ラッパー

bash scripts/run-scan.sh \
  --target ./app \
  --scan-mode quick \
  --non-interactive

ベストプラクティス

1. 自分が所有する、または評価を明示的に許可されているアセットのみをテストしてください。
2. CI では quick から始め、追加の実行時間をかけるだけの有用な兆候がある場合にのみ、スキャンの深度を上げてください。
3. シークレットをインラインに散在させるのではなく、環境変数、シークレットストア、または自分で管理する指示ファイルに保管してください。
4. 再現性と修正に関するより良いコンテキストが必要な場合は、ソースと稼働中のターゲットの両方を使用してください。
5. Strix がサンドボックスイメージを取得する場合があるため、初回の実行には時間がかかることを想定してください。
6. strix_runs/ は証拠として扱ってください。有用な実行結果は、特に検出結果がトリアージや修正の対象になる場合、アーカイブしてください。
7. Strix が無関係な領域の調査に時間を費やさないよう、スコープ、除外対象、認証情報、レート制限を明確にしてください。
8. 指示の混同を避けるため、このリポジトリの strix スキルと Strix の内部スキルを区別してください。

参考資料

• references/commands.md
• references/providers-and-config.md
• references/scan-modes-and-ci.md
• references/built-in-skills.md
• scripts/install.sh
• scripts/run-scan.sh
• scripts/ci-scan.sh
• Strix GitHub リポジトリ
• Strix ドキュメント