כלי בקוד פתוח שמשגר צוות סוכני AI לתקוף את האפליקציה שלכם - בדיוק כמו שהאקר אמיתי היה עושה - ומחזיר לכם רשימה של הפרצות שהוא באמת הצליח לנצל, עם הצעות תיקון. הנה איך מתקינים ומפעילים, בלי רקע טכני.
רוב כלי האבטחה עובדים אותו דבר: הם סורקים את הקוד ומחזירים לכם רשימה ארוכה של "אולי יש פה בעיה". אתם נשארים עם מאה התראות ובלי מושג מה מהן אמיתי. Strix (הריפו: usestrix/strix, קוד פתוח, בחינם) עושה את ההפך - הוא באמת מנסה לפרוץ, ומראה לכם רק את מה שהצליח.
סוכני AI מתמחים עובדים במקביל - אחד מחפש, אחד תוקף, אחד מאמת. בדיוק כמו צוות בודקי חדירה אמיתי.
כל פרצה מגיעה עם הדגמה עובדת שהיא באמת ניתנת לניצול. אין "אולי", אין רשימה של אזעקות שווא.
לצד כל ממצא אתם מקבלים הצעת תיקון - כדי שתוכלו לסגור את זה מיד, לא רק לדעת שזה קיים.
כל התקיפה מתבצעת בתוך סביבה מבודדת (Docker) על המחשב שלכם. שום דבר לא נוגע בסביבה האמיתית שלכם.
למי זה הכי מתאים: כל מי שבנה משהו בוייב-קודינג - אפליקציה, אתר, פרויקט צד. בדיוק שם נוצרות הפרצות הכי נפוצות, כי אף אחד לא עצר לבדוק אבטחה לפני שהעלה לאוויר.
אין פה התקנה מסובכת. צריך רק שני דברים במקום לפני שמתחילים:
זו התוכנה שיוצרת את ארגז החול המבודד שבו הסוכנים תוקפים. מורידים את Docker Desktop מהאתר הרשמי, מתקינים, ומוודאים שהוא פתוח לפני שמריצים סריקה.
זה המוח שמפעיל את הסוכנים. מפתח של Anthropic (קלוד), OpenAI או Google - כל אחד מהם עובד. הכלי עצמו חינמי; מה שעולה כסף זה השימוש במודל, לפי כמה שהסריקה עבדה.
על העלות בכנות: ההורדה והשימוש ב-Strix הם בחינם לגמרי. מה שמשלמים זה רק על הטוקנים של המודל - כמו כל שימוש ב-API. סריקה קצרה על פרויקט קטן עולה כמה שקלים בודדים; סריקה עמוקה על אפליקציה גדולה יכולה לעלות יותר. תתחילו קטן.
פותחים את הטרמינל (במק: Terminal מתוך Applications ← Utilities, או פשוט חיפוש "טרמינל"), מדביקים את השורה הזאת ולוחצים אנטר:
זהו. אם אתם מעדיפים להתקין דרך פייתון (למי שכבר עובד ככה), יש גם את הדרך הזאת:
בפעם הראשונה שתריצו סריקה, Strix יוריד לבד את תמונת ארגז החול של Docker. זה לוקח כמה דקות פעם אחת בלבד - אחר כך זה מיידי.
שתי שורות בטרמינל, ואתם מחוברים. בוחרים ספק אחד - לא צריך את כולם. פתחו את הקטגוריה שרלוונטית לכם:
מוציאים מפתח מהקונסולה של Anthropic, ואז מדביקים את שתי השורות (במקום your-api-key - המפתח שלכם):
אותו רעיון בדיוק, רק עם שם מודל אחר:
שתי הגדרות נוספות שאפשר להוסיף אם רוצים לדחוף את הכלי חזק יותר:
שימו לב שחשיבה עמוקה יותר גם עולה יותר. ההגדרות נשמרות אוטומטית בקובץ ~/.strix/cli-config.json אז לא צריך להגדיר מחדש בכל פעם.
כל מה שצריך זה פקודה אחת שאומרת לו מה לבדוק. הכלי יודע לעבוד על שלושה סוגי מטרות:
הכי נפוץ. מכוונים על התיקייה של הפרויקט והוא קורא את כל הקוד מבפנים:
פשוט מדביקים את הכתובת של הריפו. הוא מוריד ובודק לבד:
כאן הוא באמת תוקף את האתר בזמן אמת, כמו שהאקר היה עושה:
אפשר גם לשלב - הקוד והאתר החי יחד, בפקודה אחת. ככה הסוכנים רואים גם את המנגנון מבפנים וגם את ההתנהגות מבחוץ:
אם רוצים טעימה מהירה וזולה לפני שמריצים סריקה מלאה - מוסיפים מצב סריקה:
ואפשר גם להגיד לו במילים פשוטות על מה להתמקד - בדיוק כמו שהייתם מסבירים לבן אדם:
בזמן שהסריקה רצה אתם רואים בטרמינל את הסוכנים עובדים - מה הם בודקים, מה הם מנסים, מה הצליח. בסוף התוצאות נשמרות אצלכם בתיקייה strix_runs, ואפשר לפתוח את הדוח בכל רגע:
רשימת הפרצות שהסוכנים באמת הצליחו לנצל - עם ההדגמה המדויקת של איך.
הצעת תיקון לכל ממצא, כדי שתוכלו לתקן ולהריץ שוב בדיקה.
העבודה הנכונה: מריצים ← מתקנים את מה שנמצא ← מריצים שוב. אחרי סבב-שניים אתם באוויר עם משהו שכבר לא נשבר מהניסיון הראשון.
הכלי הזה תוקף באמת. זו לא סימולציה - זה תעבורה אמיתית לעבר יעד אמיתי. ולכן יש פה קו אדום אחד:
תבדקו רק מה ששייך לכם, או שיש לכם אישור כתוב לבדוק. להריץ את זה על אתר של מישהו אחר בלי רשות זו עבירה פלילית - בישראל ובכל מקום אחר. זו גם האזהרה שמופיעה בריפו עצמו: אתם אחראים לשימוש אתי וחוקי בכלי.
חוץ מזה - כדאי גם להריץ את זה על סביבת בדיקות ולא על הסביבה החיה עם הלקוחות האמיתיים, לפחות בפעם הראשונה. אתם רוצים לראות מה קורה לפני שזה קורה על נתונים אמיתיים.
לבדוק אבטחה זה צעד אחד. לבנות מערכת AI שלמה שמנהלת לכם תוכן, לידים ותפעול - מכוילת בדיוק לעסק שלכם - זה מה שאנחנו עושים בליווי האישי.
15 דקות ייעוץ בחינם