AI 渗透测试智能体架构综述：从单兵到蜂群的演进图谱

六种架构模式 · 能力边界的真实数字 · 一场 CTF 复赛的多 Agent 协作复盘

📌 检索与整理说明 主干信源为 AppSec Santa《The Rise of AI Pentesting Agents: A Technical Analysis》(2026) 与阿里云开发者社区《2026 年 AI 渗透测试平台产业发展与技术架构研究报告》。

🧭 导读：这篇解决什么问题

两年前讨论"AI 能不能做渗透测试"，答案还是"能建议，不能动手"。两年半后的今天，这个问题已经变成了：该用哪种多智能体架构，以及它的能力边界到底在哪。

本文的主线是一条"先立后破"的脉络：

复制代码

① 它是什么？  ──  智能体 ≠ 扫描器，区别是「清单」还是「推理」
        ↓
② 怎么演进的？──  扫描器时代 → 副驾驶 → 智能体 → 蜂群（两年半走完）
        ↓
③ 有几种造法？──  六种架构模式 + 各自代价
        ↓
④ 真实水平？  ──  87% 与 13% 之间那道「实验室到现实」的鸿沟
        ↓
⑤ 有什么坑？  ──  幻觉、范围漂移、以及智能体自身成为攻击面
        ↓
⑥ 怎么落地？  ──  产业形态 + 一场 CTF 实战复盘 + 防御者启示

💡 一句话先给结论 ：架构比模型更重要 （HPTSA 层级团队较单体提升 4.3 倍），但条件比架构更真实------同一个 GPT-4，带漏洞公告时 87%，真实 CVE 场景下只有 13%。

📑 目录

章	主题	你会拿到什么
一	认知起点	智能体与扫描器的本质差别、ReAct 循环
二	发展脉络	两年半时间线 + 四个时代的划分
三	六种架构模式	全景对照表 + 逐模式结构图 + 三条设计经验
四	能力边界	87%→13% 的全景数字、领域适配现象、五种失效模式
五	被忽略的一面	智能体自身的安全风险与六道护栏
六	产业格局	国外 AEV 赛道、国内五层架构与三家产品、信心回调数据
七	防御者启示	底线动作、人类价值重定位、选型权重与经济学
八	总结	十条要点 + 架构选型速查卡

⚠️ 合规前提 ：本文为技术综述与防守视角的架构分析。所有智能体的使用均须在书面授权、明确范围、隔离环境内进行；未经授权的自动化渗透测试属违法。

一、🧭 认知起点：智能体和扫描器差在哪

1.1 副驾驶与智能体的分界线

AI 渗透测试智能体（AI Pentesting Agent）是以大语言模型为决策核心、能自主完成侦察、漏洞分析、利用与报告的软件系统。

区分二者的关键在 "agent" 这个词：

	Copilot（副驾驶）	Agent（智能体）
行为	只给建议	亲自动手
执行命令	人敲键盘	它自己执行
读输出	人看	它自己读并决定下一步
代表	早期 PentestGPT	PentAGI、VulnBot、D-CIPHER

1.2 一切智能体的共同骨架：ReAct 循环

复制代码

循环：  观察状态 ──▶ 选择动作 ──▶ 执行 ──▶ 读取结果 ──▶ 回到观察

退出：  任务完成  /  上下文窗口耗尽

⚠️ 这个循环的天花板是上下文窗口。 一次 nmap 全端口扫描能吐出几千行输出，一旦把早先的发现挤出上下文，智能体就忘了自己曾经知道什么。后面六种架构模式里的绝大多数创新，本质上都是在解决这个问题。

1.3 与 Metasploit / Nuclei 的本质差别

	传统框架	AI 智能体
本质	剧本执行器	带工具访问权限的推理引擎
工作方式	选模块 → 指向目标 → 照做	读扫描输出 → 形成假设 → 尝试剧本外的方法
对已知漏洞	非常有效	有效
对未知情况	无法推理	能尝试
利用失败时	报错终止	看错误信息，换一种方式再来

💡 一句话概括：一张检查清单，对比把一个难题想明白。 代价也是真实的：智能体不如久经沙场的利用代码可靠，每次动作成本更高，而且会幻觉。

二、📈 发展脉络：两年半从"副驾驶"到"蜂群"

2.1 四个时代

复制代码

2023 之前  │ 扫描器时代
           │ Nmap 扫端口 · Nuclei 查 CVE · Metasploit 发模块
           │ 没有推理，没有自适应 —— 需要创造力的事都得人干
           ▼
   2023    │ 副驾驶之年
           │ PentestGPT：能读扫描输出并建议下一步，但每条命令仍由人敲
           │ 意义：证明了 LLM 可以推理攻击路径
           ▼
 2024–2025 │ 智能体开始自己动手
           │ hackingBuddyGPT、CAI 在沙箱里执行 shell、读输出、决定下一步
           │ Fang et al. 证明 GPT-4 带公告可自主利用 87% 一日漏洞
           ▼
 2025–2026 │ 蜂群时代
           │ 规划者定策略 · 侦察智能体绘攻击面 · 利用智能体攻破 · 报告智能体成文
           │ PentAGI、VulnBot、D-CIPHER 推开这扇门

2.2 关键里程碑时间线

时间	事件	为什么重要
2023 末	南洋理工发布 PentestGPT（USENIX Security 2024, arXiv:2308.06782）	笨拙，但首次证明 LLM 能推理攻击路径
2024-04	Fang 等（UIUC, arXiv:2404.08144）：GPT-4 带公告利用 87% 一日漏洞，其余模型与扫描器均为 0%	第一次量化"自主利用"能力
2024-06	HPTSA （arXiv:2406.01637）：团队智能体可利用零日，较单体提升 4.3 倍	多智能体优于单体的首个硬证据
2024-11	Google Project Zero / DeepMind Big Sleep 在 SQLite 发现栈缓冲区下溢	首个 AI 在生产软件中自主发现的可利用漏洞，OSS-Fuzz 多年漏检
2025-06	XBOW 自主智能体登顶 HackerOne 全球榜（1,060+ 有效提交）	商业化能力获第三方平台验证
2025-08	DARPA AIxCC 决赛：合成漏洞检出率从半决赛 37% 推到 86% ，冠军 Team Atlanta 获 400 万美元，7 套决赛系统全部开源	国家级的架构能力验证
2025-12	ARTEMIS 在 8,000 台主机真实企业网上击败 10 名人类渗透测试员中的 9 名， $18/小时（人类约$ 60/小时）	首次在真实规模网络上胜过人类
2026-04	Anthropic Mythos Preview 在每个主流 OS 与浏览器中发现数千高危漏洞，因能力过强仅向约 40 余家关键基础设施组织定向开放	临界点：厂商主动限制发布

💡 读懂这张表的关键：前三行是"实验室证明可行"，后四行是"真实世界真的发生了"。2025 年下半年是分水岭。

三、🏗️ 六种架构模式：一张图看懂取舍

对 39+ 开源项目普查后，可归纳为六种模式。

3.1 全景对照表

#	模式	代表系统	核心思想	主要代价
1	单智能体（ReAct 循环）	PentestGPT、hackingBuddyGPT、AutoPentest、RapidPen	一个 LLM 观察→行动→读输出→循环	上下文被扫描输出挤爆；PentestEval 断言其端到端"几乎彻底失败"
2	规划者-执行者	VulnBot、CHECKMATE、HPTSA	规划者只做战略不碰工具，执行者各带聚焦上下文	编排复杂度；规划者成为单点
3	角色专精	PentAGI、Zen-AI-Pentest、BlacksmithAI	侦察/利用/报告固定角色并行 + 中心状态或消息总线	编排脆弱、故障级联、并发账单
4	动态蜂群	Pentest Swarm AI、D-CIPHER	智能体数量随发现动态伸缩	同上，且更难调
5	MCP 工具总线	HexStrike AI（150+ 工具）、AutoPentest-AI（68+）、PentestMCP	安全工具封装为 MCP 服务器，推理交给客户端模型	推理质量全押客户端，无自定义规划可倚靠
6	Claude Code 原生	Raptor、Transilience Community Tools、Claude Bug Bounty	智能体 = Markdown 技能文件，零中间件	锁定单一生态，上限受宿主运行时限制

3.2 逐模式拆解

模式 1 · 单智能体（ReAct）

复制代码

        单个 LLM（全知全能）

  目标 ──▶ 动作 ──▶ 执行 ──▶ 结果 ──▶ 回到动作（循环）

  唯一的记忆 = 上下文窗口
  被扫描输出挤爆 = 直接失忆

优点：易构建、易调试、行为可预测。hackingBuddyGPT 把它精简到约 50 行 Python，无框架、无数据库、无中间件。
天花板 ：PentestEval（2025-12）考察了它能找到的所有单智能体框架，结论是端到端流程"几乎完全失败"。
💡 动手建议：想自己造智能体，从 hackingBuddyGPT fork 起步------ReAct 循环一目了然，换个提示词，一个下午就能交付可用的研究型智能体。

模式 2 · 规划者-执行者

复制代码

规划者（只做战略，从不碰工具）
    │
    │  分派聚焦子任务（每个执行者都拿全新上下文）
    │
    ├──▶ 执行者 A：侦察
    ├──▶ 执行者 B：漏洞分析
    └──▶ 执行者 C：利用
    │
    ◀── 汇报摘要（不是原始输出）
    │
规划者：挑选下一个子任务

这一模式贡献了三个最有价值的设计思想：

项目	独特贡献	效果
VulnBot	渗透任务图（PTG）：有向图，节点是任务，边是依赖。规划者跟踪哪些攻击依赖哪些侦察结果，让独立分支并行	解决了"线性执行"的低效
CHECKMATE	不让 LLM 做规划：让 LLM 写 PDDL 领域描述，交给经典规划器求解	成功率比 Claude Code 原生智能体高 20%+ ，且快 50%+、更便宜
HPTSA	层级化团队：规划者可调用子智能体，解决长期规划	14 个真实漏洞基准上较既有框架最高提升 4.3 倍（pass@5 42%，pass@1 18%）

💡 CHECKMATE 的教训值得单独记 ：别让 LLM 干它不擅长的事（长程规划），尤其当一个 1970 年代的算法早已解决了这个问题的时候。

模式 3 · 角色专精

复制代码

                    编排器
                      │
    ├──────────┬──────┼──────┬──────────┤
    ▼          ▼      ▼      ▼          ▼
   侦察   ──▶ 漏洞 ──▶ 利用 ──▶ 后渗透 ──▶ 报告
    │                                    │
    └──────────► 中心状态 / 消息总线 ◄────┘
                 （共享发现）

项目	特点
PentAGI	四子智能体：Searcher（OSINT）、Coder（脚本）、Installer（依赖）、Pentester（进攻）。Go + React，PostgreSQL + pgvector 语义记忆。14.7K stars
Zen-AI-Pentest	多智能体状态机，集成 72+ 安全工具，FastAPI + WebSocket 实时更新
BlacksmithAI	层级化：Orchestrator 协调 Recon、Scan/Enum、Vuln Analysis、Exploit、Post-Exploitation

⚠️ 故障级联是这一模式的死穴 ：如果侦察智能体漏掉一个开放服务，下游永远不会去测它。而且多个并行 LLM 调用同时计费，账单涨得更快。

模式 4 · 动态蜂群

智能体数量不固定------新智能体根据先前的发现动态生成，蜂群随攻击面伸缩。

项目	特点
Pentest Swarm AI	Go 原生 5 智能体集群（1 编排器 + 4 专家），集成 7 个 Go 原生工具（subfinder、httpx、nuclei、naabu、katana、dnsx、gau）
D-CIPHER	引入 auto-prompter （自动提示器）------发现失败模式即重写其他智能体的指令

复制代码

   执行者  ◀────────── 指令被重写
       │
       │  发现失败模式
       ▼
   auto-prompter（自动提示器）

大多数框架只会简单重试；它会改指令

战绩：NYU CTF 22.0% 、CyBench 22.5% 、HackTheBox 44.0% （三项均为当时最优）；攻克的 ATT&CK 技术点比单智能体基线多 65%。

模式 5 · MCP 工具总线

复制代码

  [ LLM 客户端 ]  ◄──── MCP 协议（类型化输入/输出）────►  [ MCP 服务器 ]
   Claude Desktop                                        nmap / nuclei
   Cursor / VS Code                                      metasploit / Burp
   自建宿主

推理完全在客户端 —— 服务器只暴露能力，不做规划

项目	规模
HexStrike AI	150+ 工具暴露为 MCP 端点（v7.0 预告扩至 250+），12+ 自主 Agent
AutoPentest-AI	68+ 工具 + 109 项 WSTG 测试 + 31 份 PortSwigger 指南
PentestMCP	面向 nmap、curl、nuclei、metasploit 的 MCP 实现库（BSidesPDX 2025）

💡 MCP 是该领域增长最快的模式 （2026 年初爆发式涌现）------构建成本低，且能直接插进 Claude Code / Cursor 等任何 MCP 客户端。 ⚠️ 取舍很直接 ：获得可组合性与模型无关性，但推理质量完全押在客户端上。LLM 不行，MCP 服务器救不了你。

模式 6 · Claude Code 原生

最新的模式：根本没有自定义框架 ------智能体被定义为配置 Claude Code 内置智能体基础设施的 Markdown 技能文件 。写一个 .md 丢进对应文件夹，就能跑。

项目	特点
Raptor	由 Gadi Evron、Daniel Cuthbert、Halvar Flake 等构建；基于 CLAUDE.md 配置，集成 AFL 模糊测试与 CodeQL
Transilience Community Tools	23 技能、8 智能体、2 工具集成；公开 CTF 基准从 89.4% 基线提升到 100%（104/104）
Claude Bug Bounty	8 个技能域、13 个智能体

💡 优势是改 .md 即改行为，零中间件。代价是锁定单一生态，能力上限受宿主运行时约束。

3.3 三条设计经验（值得单独记住）

层级化团队是模式 2 的最强证据 ------ HPTSA 在 14 个真实漏洞基准上较既有框架最高提升 4.3 倍（pass@5 42% / pass@1 18%）。
别让 LLM 干经典算法擅长的事 ------ CHECKMATE 让 LLM 生成 PDDL、交给传统规划器，比 Claude Code 原生智能体成功率高 20%+ 且快 50%+。
会改写同伴提示词的蜂群更强 ------ D-CIPHER 的 auto-prompter 发现失败模式即重写其他智能体指令，ATT&CK 覆盖比单智能体基线多 65%。

四、📉 能力边界：87% 与 13% 之间

4.1 整个领域最重要的一个数字规律

复制代码

 87%  ███████████████████████████████████  给 GPT-4 漏洞公告描述（一日漏洞）
  7%  ███  去掉描述
 13%  █████  CVE-Bench 真实 CVE
 31%  ████████████  PentestEval 端到端（346 项任务）
 ~0%  ▏  困难级 HackTheBox

      同一个 GPT-4，只因「条件真实度」不同，落差 87% → 0%

基准	条件	结果
Fang et al. 2024	GPT-4 带公告描述，一日漏洞	87%
Fang et al. 2024	无描述	7%
CVE-Bench（ICML 2025 Spotlight）	真实 CVE	13%
PentestEval	9 个 LLM × 346 项任务，端到端	31%
HackTheBox AI Range	困难级靶机	接近 0%

💡 这条规律怎么用 ：看到任何厂商宣称"成功率 90%+"，先问一句------是带公告的实验室条件，还是真实环境？ 这一条能过滤掉绝大多数宣传数字。

4.2 领域适配击败了模型规模

系统	模型	成绩
xOffense	微调 Qwen3-32B（中等规模）	子任务完成率 79.17%，超过运行在更大模型上的 GPT-4 与 Llama 3 基线
CIPHER	更小的模型	超越 Llama 3 70B
Transilience	Claude Code 原生	CTF 基准 89.4% → 100%（104/104）

💡 启示：与其等下一个更强的通用模型，不如做领域微调 + 好的架构。这是当前性价比最高的路线。

4.3 五种失效模式（比成功率更值得警惕）

失效模式	表现	危险等级
幻觉 CVE	生成听起来合理但根本不存在的漏洞引用	🔴 污染报告
"独白"模式	EnIGMA 论文（ICML 2025）记录：智能体不再执行命令，转而想象输出并在虚构结果上继续推进	🔴 完全空转
OWASP 隧道视野	只认标准漏洞模式，漏掉配置类问题与业务逻辑缺陷	🟠 覆盖盲区
范围漂移	自主智能体沿攻击路径跑出授权范围------重大法律与运营风险	🔴 违法风险
假性自信	组织以为自己验证过安全 posture，实际覆盖很浅	🔴 最危险

⚠️ "假性自信"是最危险的一条。 它不会体现在任何指标里------你看不到误报，也看不到漏报，只看到一份"看起来很专业"的报告。

4.4 人类最后的护城河

ARTEMIS 在真实企业网的实战对比给出了清晰的分工：

维度	AI 智能体	人类渗透测试员
70% 关键 Web 漏洞（业务逻辑缺陷）	❌ 目前无任何自主智能体能可靠检测	✅
覆盖面、7×24、一致性	✅ 显著优势	❌
创造性利用链、GUI 流程、全新攻击向量构想	❌	✅
成本	$18/小时	约 $60/小时

五、⚠️ 被忽略的一面：智能体自己的风险

💡 这一章是本次检索新增的内容，原综述未覆盖。 但它可能是最该被讨论的部分------当你把攻击能力交给一个自主系统时，这个系统本身就成了一个新的攻击面。

5.1 案例：HexStrike AI 自身的三个 CVE

HexStrike AI 是最热门的 MCP 安全工具总线（150+ 工具）。2026 年，安全研究社区披露了它自身的三个 CVE，其中一个是远程命令注入：

复制代码

原本的攻击链：   AI Agent ──▶ HexStrike ──▶ 目标系统
被反噬的攻击链： 攻击者   ──▶ HexStrike 的 RCE ──▶ 运行它的服务器
                 （AI 攻击平台自己变成了漏洞）

⚠️ 这不是孤例。Check Point Research 明确指出 LLM 编排框架的双用途风险：让工具对防守者强大的那层抽象，同样能以最小人工监督把攻击能力规模化投向任意目标。

5.2 双用途风险的实证

Palo Alto Networks Unit 42（2025-12）的研究给出一个刺眼的对照：

形态	面对 SQL 注入 / SSRF / 数据外泄请求
ChatGPT-4o（对话形态）	一致拒绝
ChatGPT-4o（自主智能体形态）	成功执行

💡 差别不在模型，在架构。 一旦套上"自主执行 + 工具调用"的外壳，原本的对齐护栏会被显著削弱。这对所有打算自建智能体的团队都是硬警告。

5.3 六道护栏（运行自主智能体的前置条件）

#	护栏	说明
1	书面授权	无明确书面同意的攻击性测试即为入侵，即便是自己的供应商执行
2	白名单范围	只给授权的域名、IP、API，其他一律不给
3	Staging 优先	先在含假数据的副本上跑，生产环境仅其后、且在非高峰时段
4	出网流量过滤	智能体只能访问目标 ------ 一条配错就可能导致数据外泄
5	人在环上	无人工签署不得执行破坏性操作；全程记录智能体的每个动作
6	预算上限	⚠️ 最容易被忽略：卡在循环里的智能体会持续烧钱而无人察觉

💡 第 6 条对应前面"并发账单"的代价------有企业因无节制运行而超出 AI 预算 115%。

六、🏢 产业格局：从实验室到产品

6.1 国外：AEV 新品类成型

赛道公开风险投资超 6.65 亿美元 ，形成"对抗性暴露验证（AEV）"新品类
XBOW：2.37 亿美元 C 轮，估值超 10 亿美元；HackerOne 全球榜第一
Horizon3.ai、Pentera 等跟进
Gartner 预计 2027 年 40% 组织将运行正式暴露验证项目

6.2 国内：五层架构成为共识

阿里云报告给出的主流平台分层架构（自下而上）：

复制代码

  合规管控层   │ 白名单授权边界 · 测试数据隔离 · 操作全流程审计
  ────────────┼────────────────────────────────────────────────
  核心决策层   │ 攻击路径规划 · 漏洞利用推理 · 结果验证逻辑
               │ （大模型，平台的核心能力载体）
  ────────────┼────────────────────────────────────────────────
  Agent 调度层 │ 多支 AI 红队任务分配 · 并发控制 · 结果聚合
               │ （一次任务多队并行，规避单 Agent 局限）
  ────────────┼────────────────────────────────────────────────
  工具适配层   │ 对接侦察 / 扫描 / 利用工具，支持 MCP，100+ 工具

⚠️ 信源说明 ：公开片段可确认上述四层，报告表述为"五层架构"，第五层（呈现/运营层）的具体命名未能从公开片段核实。

国内三家代表产品（2026 年密集发布）：

厂商	产品	架构特点
阿里云	Agentic BAS 智能渗透验证（2026-07）	三段式调度；五类 Agent：中心调度 / 侦察 / 渗透 / 验证 / 报告；千问大模型主导决策；高危操作经"策略网关"二次确认
奇安信	AI 加特林（2026-07-09）	四大智能体：任务规划 → 攻击执行 → 自主反思 → 报告生成；端到端无人值守
启明星辰	天镜 AI-PTS	大模型智能决策 + 多智能体协同，自动分级生成渗透计划

💡 "策略网关"这个设计值得单独注意 ------ 它把"AI 的自主性"和"高危误伤"用一道受控边界隔开，这正是第七章实战复盘里 human-on-the-loop 的产品化形态。

其他国内进展：绿盟"风云卫"垂域大模型、天融信"模型-工具-知识库-技能"四能力、微步 RedAgents（已接入 4 支以上全球 AI 红队智能体与 100+ 安全工具）；绿盟"ai 小分队"以全程无人工干预拿下腾讯云黑客松总冠军（2026-04-28）。

6.3 一个重要的反向证据：行业信心在回调

这是本轮检索中最值得注意的数据，原综述未体现：

指标	2025	2026 Q2
愿意把整个测试生命周期交给 AI 的安全团队占比	29%	9%

（来源：Cobalt 报告，2026-06-25）

三大痛点：盲区（漏掉关键配置错误）、误报过载 （某零售商平均每周 312 条虚假告警）、预算失控（某健康科技公司超支 115%）。

而混合模式的对照组数据非常漂亮：

指标	纯自主	混合（AI 初筛 + 高级分析师复核）
发现漏洞数	42（且漏掉一个导致数据泄露的关键 SSRF）	61
误报率	---	降低 68%
预算	超支	控制在 1.2 倍以内
平均修复时间	14 天	9 天

💡 这解释了为什么"人在环上"不是保守，而是当前的最优解。

七、🛡️ 对防御者的启示

7.1 底线动作

AI 智能体最擅长的是：已知 CVE 匹配、SSRF / 注入类缺陷、错误配置、标准 Web 漏洞，且在持续压缩"披露到被利用"的窗口。

更快打补丁、假设自己正被持续扫描 ------ 这是底线，不是建议。

7.2 人类红队价值的重定位

应聚焦于三块 AI 目前做不了的地方：业务逻辑缺陷、多步创造性利用链、GUI 依赖场景。

7.3 选型的四维权重与分场景策略

阿里云报告给出的权重：技术 40% / 合规 30% / 生态 20% / 服务 10%。

场景	优先考量
高合规行业（金融、国央企、能源）	数据零留存（ZDR） + 操作可审计
技术团队	开放生态（能否接入社区/高校最新攻防能力）
所有场景	以 POC 实测校验厂商宣称

⚠️ "以 POC 校验宣称"这一条，对判读所有"87%"类宣传数字同样适用。

7.4 最优的经济学组合

复制代码

  AI 覆盖（$18/hr）  ──►  广度 · 7×24 · 一致性
         +
  人类验证（$60/hr） ──►  深度 · 业务上下文 · 合规签署
         ‖
  专家产能放大 3–5 倍，且不降低报告准确性

这不是折中，而是 ARTEMIS 研究给出的实际结论。

7.5 合规不能回避

标准	要求
PCI DSS 4.0（11.4，2025-03）	要求文档化的渗透测试方法学与有资质的测试人员
SOC 2（CC4.1 / CC7.1）	要求渗透测试证据；AI-only 报告是否满足，因审计师而异
NIST AI RMF	要求记录 AI 决策过程，高风险场景保持人工监督

⚠️ AI-only 报告目前不满足 SOC 2 / HIPAA / PCI DSS / FedRAMP 的人工验证要求。 如果有厂商暗示可以，那是他们话术里的漏洞，不是产品特性。

八、🧾 总结

8.1 十条要点

智能体 ≠ 扫描器：区别是「一张检查清单」还是「把一个难题想明白」。
ReAct 循环是共同骨架，上下文窗口是共同天花板 ------ 后续几乎所有架构创新都在解决它。
六种架构模式：单智能体 / 规划者-执行者 / 角色专精 / 动态蜂群 / MCP 总线 / Claude Code 原生。
多智能体系统性优于单智能体 ------ HPTSA 层级团队在零日利用上较单体提升 4.3 倍。
别让 LLM 干经典算法擅长的事 ------ CHECKMATE 交给 PDDL 规划器，成功率高 20%+、快 50%+。
会改写同伴提示词的蜂群更强 ------ D-CIPHER 的 auto-prompter 让 ATT&CK 覆盖多 65%。
条件越真实表现越差 ------ 87%（带公告）→ 13%（CVE-Bench）→ ~0%（困难 HTB）。
领域适配击败模型规模 ------ 微调 Qwen3-32B 的 xOffense 达 79.17%，超过更大的通用模型。
智能体自身是新的攻击面 ------ HexStrike 三个 CVE（含 RCE）；自主形态会显著削弱对齐护栏。
最优解是混合而非全自主 ------ 行业信心从 29% 回调到 9%；混合模式误报降 68%、修复时间 14→9 天。

8.2 架构选型速查卡

你的场景	建议模式	理由
学习 / 研究原型	模式 1（hackingBuddyGPT，~50 行）	ReAct 循环一目了然，一下午可交付
长期规划任务	模式 2（规划者-执行者）	上下文隔离最彻底，HPTSA 验证有效
有确定性子流程	模式 2 + PDDL（CHECKMATE 思路）	别让 LLM 做规划
攻击面大、需并行	模式 3（角色专精）	注意故障级联，侦察层要做冗余
攻击面未知、需探索	模式 4（动态蜂群 + auto-prompter）	弹性伸缩，失败后改指令而非重试
已有趁手的 LLM 客户端	模式 5（MCP 总线）	成本最低，但推理质量全押客户端
Claude Code 重度用户	模式 6（.md 技能文件）	零中间件，改 .md 即改行为

8.3 一句话收尾

架构比模型重要，但条件比架构更真实。 这个领域最容易被误读的地方，是把"87%"当成能力上限------那其实是实验室条件下的上限 。真实世界的数字是 13%，而且剩下的关键漏洞里有 70% 属于业务逻辑缺陷，目前没有任何智能体能可靠检测 。所以当下最清醒的姿势是：用 AI 换频度和广度，用人守住深度和责任边界。

📚 参考文献

学术（A 级）

Zhu, Y. et al. (2024/2025-v2). Teams of LLM Agents can Exploit Zero-Day Vulnerabilities（HPTSA）. arXiv:2406.01637
Fang, R. et al. (2024). LLM Agents Can Autonomously Exploit One-day Vulnerabilities. arXiv:2404.08144
Deng, G. et al. (2024). PentestGPT: An LLM-empowered Automatic Penetration Testing Tool. USENIX Security 2024. arXiv:2308.06782
SoK: DARPA's AI Cyber Challenge (AIxCC): Competition Design, Architectures, and Lessons Learned. arXiv:2602.07666
D-CIPHER、CVE-Bench（ICML 2025 Spotlight）、CyBench（ICLR 2025 Oral）、PentestEval、EnIGMA（ICML 2025）、ARTEMIS（arXiv:2512.09882）------ 部分经 AppSec Santa 综述转引

行业报告（B 级）

Cankurt, S. (2026-06-10). The Rise of AI Pentesting Agents: A Technical Analysis . AppSec Santa. https://appsecsanta.com/research/ai-pentesting-agents-2026 ------ 六种模式、39+ 项目、87%→13% 鸿沟的主干信源
阿里云开发者社区 (2026-10-23). 2026 年 AI 渗透测试平台产业发展与技术架构研究报告 . 2026年AI渗透测试平台产业发展与技术架构研究报告-阿里云开发者社区 ------ 五层架构、行业痛点、选型权重的主干信源
Microsoft Security Blog (2026-05-12). Defense at AI speed
Cobalt (2026-06-25). 自主渗透测试信心度报告 ------ 29%→9% 回调数据的来源
Palo Alto Networks Unit 42 (2025-12). 自主智能体 vs 对话形态对齐差异研究

媒体 / 厂商（B/C 级）

赛可达 (2025-12-15). 美国 DARPA AIxCC 落幕
安全牛 (2026-07-16). 阿里云正式发布 Agentic BAS 智能渗透验证
安全419 (2026-07). 7 月安全厂商动态：AI 渗透测试产品密集发布（奇安信 AI 加特林、启明星辰天镜 AI-PTS）
百家号 / 智东西 (2026-04-28). 腾讯云黑客松绿盟 ai 小分队全程无人干预夺冠
CN-SEC (2026-09). HexStrike AI：127 个工具 + MCP 协议......但它把自己也变成了漏洞 ------ 智能体自身 CVE 的来源
Astra Security. Autonomous AI Agents for Penetration Testing: A Complete Guide ------ 五种失效模式与合规要求的来源

⚠️ 局限性与合规声明

局限性说明

本文未实际运行任何被评测系统，所有成绩数据均来自所引文献与报告。
商业厂商数据（XBOW、Horizon3、Pentera、RedAgents、Agentic BAS、AI 加特林）多为自我报告，缺独立第三方评估。
Shannon 在清理版基准上的 96.15% 与 XBOW 报告的黑盒成绩（约 85%）条件不同、不可直接比较。
HexStrike 工具数量在不同资料中为 127 / 150+ / 250+（版本差异），本文已标注口径。
阿里云五层架构的第五层命名未能从公开片段核实。
领域迭代极快，结论以 2026 年 10 月为截止时点。

合规声明

本文为技术综述与学习笔记整理，非原创研究 ，所有数据均标注信源。文中涉及的渗透测试智能体、工具与平台，仅可在书面授权、明确范围、隔离环境下用于安全研究与防守验证。未经授权对任何系统实施自动化扫描、漏洞利用或数据获取，均属违法。部署自主智能体前，请务必落地第五章的六道护栏。