Offensive AI Agentic 全景：项目 / 模型 / Skill / MCP / 论文 / Benchmark / 商业产品 一览

Offensive AI Agents Landscape: Projects, Models, Skills, MCP Servers, Papers, Benchmarks & Commercial Solutions

本文档以进攻型 AI为主线，系统整理了 AI 渗透测试 / 自主红队 Agent 领域的开源项目、进攻型 & 安全专用开源模型、进攻型 AI Skill 与 MCP Server、学术论文、能力评测 Benchmark 与国内外商业化解决方案，帮助研究者、安全工程师与企业安全决策者快速建立领域全景认知。注意：本文档聚焦"用 AI 做攻击"，而非"攻击 AI 系统"（LLM 自身安全性如 prompt injection / jailbreak 等不在主线范围，仅少量关联项目涉及）。

This document focuses on offensive AI — curating open-source projects, offensive & security-specialized open-weight models, offensive AI Skills & MCP Servers, academic papers, capability benchmarks, and commercial solutions (international & China) in AI-driven penetration testing & autonomous red-team agents. It helps researchers, security engineers, and enterprise decision-makers quickly form a holistic view of the domain. Note: the primary lens is "using AI to attack", not "attacking AI systems" (LLM security topics such as prompt injection / jailbreaking are out of scope for the main thread, though a few related projects may appear incidentally).

数据采集时点：2026-09-11（论文章节全量核验：修复错链与元数据、移除 4 篇 LLM 自身安全类论文、经 LLM4Pentest 交叉核对补充 47 篇，73→116）｜ Star 数 ≥ 1000 统一以 k 为单位（保留一位小数）。

---

📋 开源Agent列表

Open-Source Agent List

按 Star 数降序排列，收录 Star ≥ 90 的开源 AI 渗透测试 / 红队 Agent 及进攻型安全项目。 ⭐新补充 = 本轮新增（2026-07-14/15） Sorted by stars (desc), projects with ≥ 90 stars — covering AI penetration testing, red-team agents, and offensive security tools. ⭐ = newly added this round (2026-07-14/15).

备注：1k–10k 区间的 Star 数为 GitHub 网页缩写值的换算结果；万级以上误差更大。2026-09-02 全量刷新要点：strix 反超 shannon 登顶（41k→60.1k）；cai（2026-08-28）与 Cyber-Zero（2026-07-10）已归档；deadend-cli 迁移至 straylabs-ai 组织；mcp-shodan 迁移至 w0h1v。2026-09-07 精简：移除 promptfoo、garak、PyRIT、vulnhuntr、deepteam、agentic_security、buttercup、promptmap、reaper 共 9 个项目（56→47，聚焦渗透 / 红队 / CTF Agent 主线）。 Note: stars in the 1k–10k range are converted from GitHub's abbreviated values; 10k+ may carry larger errors. 2026-09-02 refresh highlights: strix overtakes shannon as #1 (41k→60.1k); cai & Cyber-Zero archived; deadend-cli moved to straylabs-ai; mcp-shodan moved to w0h1v. 2026-09-07 pruning: removed 9 entries (promptfoo, garak, PyRIT, vulnhuntr, deepteam, agentic_security, buttercup, promptmap, reaper), refocusing on pentest / red-team / CTF agents.

---

🧬 进攻型 / 安全专用开源模型

Offensive & Security-Specialized Open-Weight Models

上面的项目多为"Agent 框架 / 脚手架"，其能力最终取决于底层模型。本节盘点可作为 Offensive AI Agent 推理内核的开源权重模型，分两类：

• A. 无安全对齐 / 弱审查的进攻型模型：刻意去除或大幅弱化拒答对齐，可直接输出漏洞利用 / 攻击链推理，最适合本地化、无云依赖的红队 Agent 驱动。
• B. 安全领域专用模型（含推理 / 漏洞 / 防御对齐）：面向安全垂域微调，能力强但保留了不同程度的安全对齐，进攻场景常需搭配越狱 / 系统提示或作为漏洞检测内核使用。

These are open-weight models usable as the reasoning core of an offensive AI agent, split into (A) uncensored/weakly-aligned offensive models and (B) security-specialized models that still retain safety alignment.

A. 无安全对齐 / 弱审查的进攻型模型

Uncensored / Weakly-Aligned Offensive Models

⚠️ 说明：此类模型刻意弱化安全对齐，可直接产出攻击性内容，必须严格限定于授权测试 / 隔离环境（详见文末免责声明）。 These models intentionally weaken safety alignment; use only within authorized, isolated environments.

B. 安全领域专用模型（含推理 / 漏洞 / 防御对齐）

Security-Specialized Models (Reasoning / VulnDetect / Defense-Aligned)

甄别提示：VulnLLM-R / Foundation-Sec / CyberSecQwen / Meta-SecAlign / Titus 均非"无对齐进攻模型"——它们分别偏漏洞检测、安全推理、防御问答、抗注入防御与 SOC/DFIR 运营。真正"无安全对齐、适合直接进攻"的是 A 类（Qwythos、WhiteRabbitNeo/DeepHat、Lily、BaronLLM、CyberStrike-OffSec-35B、BugTraceAI-CORE-Ultra）。将它们并列收录，是为了呈现"进攻内核 vs 安全垂域 / 防御对齐"的完整光谱，便于选型时对症下药。 Selection note: only Group A models are genuinely uncensored/offensive; Group B are vuln-detection, reasoning, or defense-aligned models included for a complete spectrum.

---

🧩 进攻型 AI Skill 资源精选

Offensive AI Skills (Claude Code / Agent Skills Ecosystem)

除了独立 Agent 与底层模型，Agent Skill（如 Claude Code Skills、agentskills.io / skills.sh 生态）正成为"进攻型 AI"落地到通用 AI 编程客户端的重要形态——把渗透测试方法论、工具链调用顺序与 payload/字典打包为可被 Agent 按需自动加载的结构化技能模块。仅收录纯 Skill 形态（非 Agent/Subagent 混合项目）、Star ≥ 100 的仓库，按 Star 数降序排列。 Agent Skills package pentest methodology, tool-chains, and payloads/wordlists into structured modules that general-purpose AI coding agents (e.g. Claude Code) can auto-load on demand. Only pure-Skill repos (excluding Agent/Subagent-hybrid projects) with ≥ 100 stars are listed, sorted by stars (desc).

⚠️ 上述 Skill 本身通常不内置攻击性代码，仅提供方法论、脚本编排与工具调用规范；实际执行仍依赖用户自行安装的安全工具，且必须严格限定于授权测试场景。 These skills mostly provide methodology/orchestration rather than embedded exploit code; actual execution still relies on separately installed security tools and must remain within authorized testing scope.

---

🔌 进攻型 AI MCP Server 精选

Offensive AI MCP Servers

MCP（Model Context Protocol）让 AI Agent 以标准化协议直接调用真实安全工具，是"进攻型 AI"从推理走向实际执行的关键基础设施——Burp、Metasploit、Nmap 等工具借此被"AI 化"。仅收录安全工具集合类 MCP Server（非单一 Agent 项目自带的 MCP 组件）、Star ≥ 100 的仓库，按 Star 数降序排列。 MCP servers let AI agents invoke real security tools via a standardized protocol — the execution layer that turns offensive AI reasoning into action. Only dedicated security-tool MCP servers (excluding MCP components bundled inside a single agent project) with ≥ 100 stars are listed, sorted by stars (desc).

⚠️ 此类 MCP Server 通常直接封装真实攻击性工具（Metasploit、sqlmap、hashcat 等），风险等级高于 Skill 类资源，必须部署于隔离环境并严格限定授权范围。 These MCP servers wrap real offensive tools directly and carry higher risk than skill-based resources — deploy only in isolated, explicitly authorized environments.

---

🏆 知名 AI 攻防 / 智能渗透赛事

Notable AI Offense-Defense & Intelligent Penetration Competitions

本节收录全球范围内具有代表性的 AI 驱动攻防 / 自主渗透 竞技赛事，是检验 Agent 实战能力的"竞技场"，产出的开源系统往往代表当前工程实践的最高水准。 This section covers representative AI-driven offense-defense / autonomous penetration competitions worldwide — the "arenas" that stress-test Agent capabilities, whose open-sourced systems often represent state-of-the-art engineering practice.

1. DARPA AIxCC 2025

DARPA AI Cyber Challenge 2025 Final

美国 DARPA 在 2025 年举办的 AI Cyber Challenge（AIxCC） 决赛中，7 支队伍各自开源了完整的 Cyber Reasoning System（CRS），代表当前自动化漏洞发现 + 修复 Agent 的最高工程水准。 The 7 finalist Cyber Reasoning Systems from DARPA's AI Cyber Challenge represent today's state-of-the-art in automated vulnerability discovery & patching agents.

2. 腾讯云智能渗透黑客松

Tencent Cloud Intelligent Penetration Hackathon

腾讯安全云鼎实验室主办，国内首个聚焦 LLM 智能体全流程自动化渗透 的顶级专业赛事，理念"铸刃止戈、以智御危"。已连续举办两届，累计汇聚清华大学、复旦大学、帝国理工学院、卡内基梅隆大学等国内外知名高校学生战队，鹏城实验室、中国科学院信息工程研究所等权威科研机构专家战队，以及阿里、京东、长亭、绿盟等行业领军企业战队，参赛规模从第一届 238 支战队/518 名选手增长至第二届 610 支战队/1,345 名选手，累计产出 20 套顶尖智能渗透技术框架。赛制核心导向为纯 AI 驱动渗透，严格限制人工操作，前 20 名可获开源贡献奖。官方资源仓：Yeti-791/Tsec-Hackathon（709 Stars）。 Hosted by Tencent Security Yunding Lab, the first domestic top-tier competition focused on LLM-agent fully-automated penetration. Two editions held so far, growing from 238 teams/518 competitors to 610 teams/1,345 competitors, producing 20 leading intelligent-penetration frameworks. Strictly AI-driven with manual operation prohibited. Official repo: Yeti-791/Tsec-Hackathon.

---

📑 相关学术论文

Related Academic Papers (grouped by topic; within each group, newest first)

在原有基础上，融合了 tmylla/Awesome-LLM4Cybersecurity 中渗透测试、进攻 AI、漏洞挖掘相关章节，并于 2026-09-11 与 simon-p-j-r/LLM4Pentest（108 篇分类清单）逐篇交叉核对：勘误多项标题/作者/链接（含 CyberSecEval 3 错链、MAPTA/D-CIPHER/Aurora 旧版标题、PwnGPT PDF 直链等）、移除 4 篇"攻击 AI 系统 / LLM 自身安全"类论文（UDora、AgentPoison、CyberSecEval 1/3）、补充 47 篇遗漏论文。现共收录 116 篇，按主题拆为 3 个子表：

• A. 渗透测试 & 红队 Agent（62 篇）
• B. 漏洞挖掘 / 利用 / 修复（20 篇）
• C. 评测基准 & 训练方法 & 综述 & 奠基（34 篇）

时间以 arXiv v1 提交日期 / 期刊首发日期为准；⭐新补充 = 本轮新增（2026-09-11），ⓝ 为往轮补充。

Cross-checked entry-by-entry against simon-p-j-r/LLM4Pentest on 2026-09-11: multiple title/author/link errata fixed (incl. a wrong CyberSecEval 3 link), 4 "attacking-AI / LLM-safety" papers removed (UDora, AgentPoison, CyberSecEval 1/3), and 47 missing papers added — 116 in total: (A) Pentesting & Red-Team Agents (62) · (B) Vulnerability Discovery / Exploitation / Repair (20) · (C) Evaluation, Training, Surveys & Foundational (34).

A. 渗透测试 & 红队 Agent

Pentesting & Red-Team Agents

B. 漏洞挖掘 / 利用 / 修复

Vulnerability Discovery / Exploitation / Repair

C. 评测基准 & 训练方法 & 综述 & 奠基

Evaluation Benchmarks, Training Methods, Surveys & Foundational

注：会议/期刊年份为论文实际收录会议届期；arXiv 时间为 v1 提交月份。来源致谢：tmylla/Awesome-LLM4Cybersecurity、EvanThomasLuke/Awesome-AI-Hacking-Agents、simon-p-j-r/LLM4Pentest（2026-09-11 逐篇交叉核对）。本轮移除的 4 篇"攻击 AI 系统 / LLM 自身安全"类论文：UDora（劫持 LLM Agent 推理的红队框架）、AgentPoison（LLM Agent 记忆投毒后门）、CyberSecEval 1/3（LLM 安全编码与风险评测，其基准本体仍保留于 Benchmark 章节）。 Note: conference years refer to actual proceedings; arXiv dates are v1. Credits to the awesome lists above. Four "attacking-AI / LLM-safety" papers removed this round: UDora, AgentPoison, and CyberSecEval 1/3 (the CyberSecEval benchmark family itself remains in the Benchmark section).

---

🧪 Agent 能力评测 Benchmark

Agent Capability Benchmarks (sorted by stars, desc)

用于评估渗透测试 / 网络安全 / CTF / 红队 Agent 能力的开源 benchmark。 Open-source benchmarks for evaluating pentest / cybersecurity / CTF / red-team Agent capabilities.

备注：标 — 的 Stars 表示数据缺失或仓库较新。许多 Agent 项目（PentestGPT、cochise、xOffense、Cyber-Zero、deadend-cli 等）会在自己 README 中报告在 NYU CTF Bench / Cybench / AutoPenBench / XBOW 等 Benchmark 上的得分。 Note: "—" means missing data or a new repo. Many agent projects report scores against these benchmarks in their own READMEs.

Benchmark 选型小贴士｜Selection Cheatsheet

---

💼 商业化解决方案

Commercial Solutions

本节盘点全球范围内主流的 AI / Agentic 智能渗透测试 / 自主攻击安全 商业化产品。分为「国外」与「国内」两个子表。国外部分经全网核查（融资记录、公司估值、官网定价、并购/退出事件、权威媒体报道）后，按公司/产品的融资规模、估值与行业影响力精选 Top 20——原列表中缺乏可查融资证据、无第三方媒体报道、疑似早期占位官网的长尾条目已剔除（如 KinoSec、Casco、PentX、Revelion、qriousec、Penligent、bugbunny ai、Sec1、Zentinel、Shinobi Security、AutoVAPT.ai、RedVeil.ai、PAIStrike、Novee、AISLE、Pensar、Origin/Prelude、Hound、PentestGPT Pro 等）。国外首位为 Anthropic 的 Mythos（本身为前沿模型而非纯渗透产品，但其安全能力已构成该赛道的现象级存在，故保留）。 This section enumerates representative commercial AI / Agentic penetration testing & autonomous offensive security products worldwide. The international table has been fact-checked against funding records, valuations, official pricing pages, M&A/exit events, and credible media coverage, then narrowed to the Top 20 by funding scale, valuation, and market influence — long-tail entries lacking verifiable funding or press coverage were removed.

🌍 国外厂商 Top 20（按融资规模 / 估值 / 影响力排序）

International Vendors — Top 20 (ranked by funding, valuation & market influence)

🇨🇳 国内厂商

Domestic Vendors (China)

🎯 选型对照（按典型场景）

Pick by Scenario

---

📚 Awesome List 资源汇编

Awesome List Collection

本节汇总专门收录 Offensive AI / AI 安全相关精选资源的 Awesome List 仓库，本文档大量内容来自这几个 list 的交叉合并。 This section gathers Awesome List–style repositories. This document is largely derived from cross-merging the following lists.

⚠️ 变动说明（2026-09-02）：原收录的 ox01024/awesome-offensive-security-ai 已被作者删除（404），本轮移除；EvanThomasLuke/Awesome-AI-Hacking-Agents 重新排序时反超 raphabot 列表。2026-09-07：simon-p-j-r/LLM4Pentest（352 Stars）实为资源合集而非 Agent 项目，自项目主表迁入本节。 Changelog note: ox01024/awesome-offensive-security-ai was deleted by its owner (404) and removed. 2026-09-07: simon-p-j-r/LLM4Pentest (352 stars) is a curated resource collection rather than an agent project, moved here from the main project table.

---

📊 统计概览

Statistics Overview

• 项目总数 / Total projects：53（项目主表 46 个 + AIxCC CRS 系统 7 个；2026-09-07 移除 9 个偏离主线的项目，LLM4Pentest 迁入 Awesome List）
• 进攻型 / 安全专用模型 / Models：11 个（A. 无对齐进攻型 6 个：Qwythos、WhiteRabbitNeo/DeepHat、Lily-Cybersecurity、BaronLLM、CyberStrike-OffSec-35B、BugTraceAI-CORE-Ultra-27B；B. 安全专用 5 个：VulnLLM-R、Foundation-Sec-8B-Reasoning、CyberSecQwen-4B、Meta-SecAlign、Titus-CybersecurityLLM）
• 进攻型 AI Skill / Skills：3 个，均为 Star ≥ 100 的纯 Skill 项目（Anthropic-Cybersecurity-Skills、ctf-skills、awesome-skills-security）
• 进攻型 AI MCP Server / MCP Servers：7 个，均为 Star ≥ 100 的安全工具集合类 MCP（PortSwigger mcp-server、MCP-Kali-Server、mcp-security-hub、MetasploitMCP、BloodHound-MCP-AI、mcp-shodan、pentest-mcp）
• 收录论文 / Papers：116 篇（A. 渗透 & 红队 62 篇 / B. 漏洞挖掘 20 篇 / C. 评测 & 训练 34 篇；覆盖 2023-06 → 2026-08；2026-09-11 与 LLM4Pentest 交叉核对：勘误多项 + 补充 47 篇 + 移除 4 篇 LLM 自身安全类）
• 收录 Benchmark / Benchmarks：13 个（覆盖 2023-06 → 2026-07）
• 商业产品 / Commercial products：32 个（国外 Top 20，经融资/估值/媒体报道核查精选 + 国内 12）
• Awesome List：9 个（2026-09-07 新增 LLM4Pentest 资源合集；此前 ox01024/awesome-offensive-security-ai 已被作者删除并移除）
• 主要语言 / Languages：Python ≈ 70%，TypeScript ≈ 12%，Go ≈ 8%，其他 ≈ 10%
• 领域趋势 / Trends：
  • 2023：方向探索（Happe & Cito、PentestGPT、InterCode-CTF）
  • 2024：基础工作落地 + 评测基准建立（Cybench、NYU CTF Bench、AutoPenBench、EnIGMA、Fang 三部曲、PenHeal、AutoPT）
  • 2025：多 Agent 协作 + 训练方法 + 自主 AD 渗透 + 真实 CVE 评测 + AIxCC 决赛 + RL 渗透 + 实证研究（VulnBot、cochise、D-CIPHER、Cyber-Zero、xOffense、CVE-Bench、SEC-bench、CyberGym、ATLANTIS、Buttercup、RapidPen、Pentest-R1、OCCULT、PACEbench）
  • 2026 起：商业化加速（XBOW、Pentera、Horizon3.ai、Hacktron、MindFort、Anthropic Mythos 等纷纷涌现）+ 持续基准化（PentestEval、PenForge、CTFusion、HackWorld、ExploitGym、AgentCyberRange）+ 靶场与训练数据基建（RangeFactory、CyberForge、CTF-Dojo）+ 攻防闭环与实战化（ZERO-APT 攻防裁判闭环、FuzzingBrain V2 实战挖 0day、Agents4Pentest 综述成型）

🕐 最后更新时间 / Last updated：2026-09-11 (UTC+8)

---

⚠️ 免责声明

Disclaimer

本文档汇总的所有项目、论文与 Benchmark 仅供学习研究、企业内部安全防护与授权渗透测试使用。 在任何情况下，使用者均须严格遵守所在国家和地区的法律法规以及目标组织的授权范围；严禁将其用于未经授权的攻击、入侵、破坏或其他任何违法活动。任何因滥用本文档收录内容而引发的法律责任、经济损失或安全后果，均由使用者自行承担，与本文档作者及所列项目维护者无关。

All projects, papers, and benchmarks compiled in this document are intended solely for learning, internal enterprise security hardening, and authorized penetration testing. Users must strictly comply with the laws and regulations of their jurisdiction as well as the authorization scope granted by the target organization. Any unauthorized attack, intrusion, sabotage, or other illegal activities are strictly prohibited. Any legal liability, financial loss, or security consequence resulting from misuse of the contents herein shall be borne entirely by the user, and is unrelated to the authors of this document or the maintainers of the listed projects.