第 8 章 · 03 Strix Cloud
文档摘要
第 8 章 · 03 Strix Cloud 本节摘要:前面七章讲的都是「本地跑 Strix」——你得装 Docker、配 API Key、调模型、管沙箱。本节介绍另一条路:Strix Cloud——一个托管的云端安全测试平台,跳过所有本地搭建,在浏览器里就能发起扫描。它面向「不想维护本地环境、需要团队协作与持续监控」的团队:免安装、出带 PoC 的完整报告、可分享的团队仪表盘、GitHub PR 自动扫描、持续监控。本节讲清 Cloud 与本地 Strix 的定位差异、它提供的四项能力、典型使用流程,以及什么场景该选 Cloud、什么场景仍该本地跑。 内容来源:原项目文档 ,汉化并套用体系化模板。
第 8 章 · 03 Strix Cloud
本节摘要:前面七章讲的都是「本地跑 Strix」——你得装 Docker、配 API Key、调模型、管沙箱。本节介绍另一条路:Strix Cloud——一个托管的云端安全测试平台,跳过所有本地搭建,在浏览器里就能发起扫描。它面向「不想维护本地环境、需要团队协作与持续监控」的团队:免安装、出带 PoC 的完整报告、可分享的团队仪表盘、GitHub PR 自动扫描、持续监控。本节讲清 Cloud 与本地 Strix 的定位差异、它提供的四项能力、典型使用流程,以及什么场景该选 Cloud、什么场景仍该本地跑。
内容来源:原项目文档
docs/cloud/overview.mdx,汉化并套用体系化模板。
⚠️ 即便在云端,Strix Cloud 同样仅限授权测试——只能扫描你自己的应用或有书面授权的目标。
学习目标
阅读完本节,你应当能够:
- 说清 Strix Cloud 与本地 Strix 的定位差异。
- 列举 Cloud 提供的 四项核心能力。
- 描述 Cloud 的 三步上手流程。
- 判断自己的场景该选 Cloud 还是本地 Strix。
- 理解 Cloud 在 CI/CD 与团队协作上的独特价值。
一、定位:免搭建的托管选项
本书绝大部分内容围绕「本地 Strix」展开——它强大、可定制、可深度调优,但门槛也实打实:你要装 Docker、申请模型 API Key、配置环境变量、管理沙箱镜像。对个人研究者这是乐趣,对安全团队/工程团队则可能是负担。
Strix Cloud 给出另一条路:把整套环境托管在云端,你只需一个浏览器。它的口号是「Skip the setup」(跳过搭建)。
💡 一句话区分:本地 Strix 是「自己装机、深度可调」的极客选项;Strix Cloud 是「开箱即用、团队友好」的托管选项。两者底层是同一套 AI 渗透能力,差别在「谁来运维环境」和「面向个人还是团队」。
二、四项核心能力
Strix Cloud 围绕团队安全测试提供四项能力:
| 能力 | 说明 |
|---|---|
| 免搭建(No Setup Required) | 不需要 Docker、API Key、本地安装——浏览器登录即可用 |
| 完整报告(Full Reports) | 带修复建议的详细发现报告,与本地 Strix「PoC 而非误报」一脉相承 |
| 团队仪表盘(Team Dashboards) | 跨扫描跟踪漏洞与修复进度,方便团队协作 |
| GitHub 集成(GitHub Integration) | 在 Pull Request 上自动触发扫描 |
对应的「你将拿到什么(What You Get)」:
- 渗透测试报告——带 PoC 的已验证发现(呼应第 1 章「真实验证」的灵魂)
- 可分享的仪表盘——与团队协作
- CI/CD 集成——自动拦截高风险变更
- 持续监控——快速捕获新出现的漏洞
💡 GitHub 集成 + CI/CD 是 Cloud 最具差异化的一项。它把「安全扫描」从「上线前的阶段性活动」变成「每次 PR 的自动门禁」——这正是第 4 章「集成」一节想达到、但本地实现要自己拼的状态。Cloud 把这条链路开箱化了。
三、Cloud 在工作流中的位置
把 Cloud 放回整个研发安全工作流,你会更清楚它的价值:
对比本地 Strix 在 CI/CD 里的用法(第 4 章):本地方案要你自己写 Action、管 runner、配密钥;Cloud 把这一整套收进来,PR 一开即扫,结果回填到仪表盘和 PR 检查里。
四、三步上手流程
Cloud 的入门门槛极低,官方流程只有三步:
- 在
app.strix.ai注册账号。 - 连接你的代码仓库,或输入一个目标 URL。
- 发起第一次扫描。
⚠️ 「连接仓库」与「输入 URL」是两种不同的测试模式:前者是白盒/源码扫描(能跑第 4 节会讲到的 SAST、依赖 CVE 扫描),后者是黑盒/外部扫描(从外部打)。权限与授权范围务必分清——白盒要你拥有仓库,黑盒要你对目标 URL 有书面授权。
五、什么场景该选 Cloud,什么场景该本地
不是所有情况都该上云。下面这份对照表帮你做选择:
| 维度 | 选 Strix Cloud | 选本地 Strix |
|---|---|---|
| 团队规模 | 多人协作、要共享仪表盘 | 个人研究、独立渗透 |
| 环境维护意愿 | 不想碰 Docker/密钥/镜像 | 乐于深度调优 |
| 集成需求 | 要 GitHub PR 自动门禁 | 已有自建 CI,想嵌入 |
| 定制需求 | 用官方提供的配置即可 | 要自定义 skill、改模型路由、调超时 |
| 数据敏感度 | 可接受托管(注意供应商合规) | 数据必须留在本机/内网 |
| 成本模型 | 偏好订阅制、按用量 | 偏好自己掌控模型花费 |
💡 两者并非互斥。一个常见组合是:CI/CD 与团队日常用 Cloud(开箱即用、门禁顺手),深度研究与自定义 skill 用本地(本章第 4 节会讲的自定义 skill,通常先在本地打磨,成熟后再贡献回社区)。第 5 节会讲如何把本地打磨的 skill 通过 PR 贡献出去——那正是连接「本地」与「Cloud/社区」的桥梁。
本节要点回顾
- 定位差异:本地 Strix「自己装机、深度可调」,Strix Cloud「开箱即用、团队友好」——差别在谁来运维环境。
- 四项能力:免搭建、完整报告、团队仪表盘、GitHub 集成。
- 三步上手:注册 → 连仓库或填 URL → 发起扫描。
- 白盒 vs 黑盒:连仓库是源码扫描,填 URL 是外部扫描,授权范围不同。
- CI/CD 差异化:GitHub PR 自动门禁是 Cloud 最具差异化的一项,把扫描变成每次 PR 的自动检查。
- 选择策略:团队/门禁/怕折腾选 Cloud;个人研究/深度定制/数据敏感选本地;两者常组合使用。
Cloud 解决「不想自己搭」的问题;但 Strix 真正的扩展性,藏在「自定义 skill」里。下一节我们回到本地,亲手写两个实战 custom skill——依赖 CVE 扫描与 source-aware SAST,完成从「用 skill」到「造 skill」的跨越。