源码系统概览
文章正文
渗透测试项目做到一半，主机、漏洞、凭据和攻击路径散落在各种终端记录里，交接与复盘全靠人肉整理。PentestCode 是一套开源的 AI 渗透测试系统源码，在终端里运行多智能体协作，自动跑工具、读输出、维护持久化的测试状态图谱。
项目由 s0ld13rr 维护，采用 MIT 许可证，GitHub 获得 668 个 star，最后更新于 2026 年 9 月。系统面向授权测试场景，目标主机与范围须由测试人员显式指定。
源码简介
PentestCode 的多智能体架构把侦察、利用与报告拆成协作角色，共享同一份测试记忆：主机与服务清单、漏洞链、凭据库、访问权限、网络分段与域内模型全部结构化存储。
攻击路径计算基于实体关系图，用 Dijkstra 与 Yen K 短路算法按成本排序可达路线，权限提升与横向移动的候选路径自动浮现。
和 Metasploit 这类传统框架对比，区别在于 PentestCode 用大模型驱动决策与记录，工具调用、证据链与置信度评分自动沉淀，人工只需把关关键动作。
与 Burp Suite 的区别在于定位，Burp 深耕 Web 漏洞测试，本项目横跨主机、域环境与内网渗透的全流程状态管理。
| 维度 | PentestCode | Metasploit | Burp Suite |
|---|---|---|---|
| 驱动方式 | 多智能体加 LLM 决策 | 模块化人工驱动 | 手动测试台 |
| 状态管理 | 图谱化持久记忆 | 工作区文件 | 站点会话 |
| 路径推荐 | K 短路成本排序 | 无自动推荐 | 无 |
| 许可 | MIT 开源 | BSD 开源 | 商业为主 |
本项目源码结构完整，欢迎感兴趣的开发者到 GitHub 仓库 star 和 fork 参与贡献。
适用场景
- 授权红队项目的过程管理，主机、凭据与攻击路径集中沉淀。
- 安全团队内部演练与 CVE 复现，测试记录可追溯可交接。
- 渗透测试教学演示，多智能体协作流程可视化展示。
- 企业自研安全平台时借鉴其状态图谱与路径计算设计。
技术栈与运行环境
项目以 TypeScript 为主体开发，基于 opencode 终端智能体框架构建，Node.js 环境通过 npm 全局安装即可运行。
内置工具适配与技能检查清单覆盖六个渗透阶段，支持 20 多家 LLM 提供商接入，模型密钥通过环境变量注入。
当前版本 v0.1.7，最后更新于 2026 年 9 月，更新日志见仓库发布页，安装脚本支持锁定版本与自定义目录。
功能亮点
- 多智能体协作，团队式分工替代单轮对话式渗透。
- 持久化参与状态，跨会话保留主机、漏洞、凭据与访问记录。
- 实体关系图覆盖利用链、凭据来源、管理员与跳板关系。
- 域环境模型含域控、信任关系、管理员与密码策略。
- 攻击路径按成本排序，K 短路算法自动推荐横向路线。
- 20 多家 LLM 提供商可选，密钥不入库。
- 六阶段检查清单内建，测试流程有章可循。
技术架构与部署指南
安装与部署提示
推荐 npm 全局安装 pentestcode-ai 包，或用官方 curl 安装脚本一键部署，从源码构建走仓库 packages 目录。
安装后配置 LLM 提供商密钥，指定授权目标即可开始会话，测试范围务必与书面授权一致。
最后更新于 2026 年 9 月，版本 v0.1.7 的更新日志见发布页，建议生产环境锁定版本号避免行为漂移。
截图与演示说明
本页封面为项目官方标志图，原图位于源码包 .github 目录，仓库 README 提供架构与工具清单说明但未附运行截图。
实际效果验证需在授权靶场进行，启动会话后终端展示智能体分工、工具调用记录与状态图谱更新过程。
常见问题
问：PentestCode 是什么，和 Metasploit 有什么区别？
PentestCode 是终端里的 AI 多智能体渗透测试系统，自动维护测试状态与攻击路径，Metasploit 是模块化利用框架，依赖人工驱动，两者可互补使用。
问：这套渗透测试系统源码怎么下载安装？
从本页获取源码包解压阅读文档，或在 Node.js 环境用 npm 全局安装，也可执行官方脚本一键部署。
问：可以直接扫描任意目标吗？
不可以，仅限书面授权的安全测试，对未授权目标使用违反法律，工具定位是授权渗透项目的效率工具。
问：支持哪些大模型，数据会外传吗？
支持 20 多家 LLM 提供商，测试数据按所选模型服务商的处理策略流转，敏感项目建议接入本地模型。
问：项目收费吗？
MIT 许可证开源免费，模型调用费用按所选服务商计费。
安全风险提示
本工具仅限授权安全测试用途，对未授权系统使用属违法行为，使用者需承担全部法律责任。
审计未发现 webshell 与后门，但工具本身具备攻击能力，部署环境应隔离管控，LLM 密钥与测试报告妥善保存。
下载说明
本页提供 PentestCode AI 渗透测试系统的完整源码打包下载，含多智能体框架、工具适配与技能清单，适合授权测试团队二次开发。
压缩包为原始仓库文件，解压后按文档安装配置即可在授权环境使用。
GitHub项目开源地址：https://github.com/s0ld13rr/pentestcode
