维度网讯，荷兰安全公司 Hadrian 发布了一个名为 OpenHack 的新开源项目，该项目基于 MIT 许可，将基于代理的自动化漏洞研究流程打包到一个文件工作空间中。OpenHack 模拟了 Hadrian 研究团队进行自动化漏洞审查的方式，其工作流程可在 Claude Code、Codex 或 Cursor 等编码工具或自定义运行器内运行。

OpenHack 的持久状态保存在普通文件中，包括克隆的源代码、侦察项、场景提示、场景结果、候选发现、分类决策、发现和日志。该工具提供模型执行、终端访问、存储库访问和人机交互审批功能。Hadrian 首席执行官 Rogier Fischer 表示，团队已在这一方向上工作了一段时间，发现的严重漏洞使该工具的价值具体化，并证明安全团队不需要 Mythos 也能发现严重漏洞。

该系统的操作模型基于文件状态机构建。通过一条命令将运行推进到下一个持久状态，由代理回答该状态的提示，并通过记录器命令在具体化新工作之前验证答案。人类操作员需要批准每个阶段转换，包括侦察前的专家范围、侦察后的场景路由、路由器回答后的场景积压，以及候选创建后的发现分类积压。持久链从侦察项依次流向路由单元、场景、场景结果、候选发现和分类决策。

在侦察阶段，代理会识别审查面，如路由、接收器、认证边界、上传路径、解析器入口点、清单和管理区域。随后，一个场景路由代理将这些面转化为有作用域的场景，由专家代理证明或反驳每个场景。独立的分类代理则负责决定哪些验证通过的候选最终成为发现。

当前注册表定义了12个专家系列，以Markdown清单形式呈现，每个系列声明其ID、类别、所有权、标准和路由信号。这些系列覆盖了OWASP Top 10:2025类别，包括损坏的访问控制、安全配置错误、软件供应链失败、加密失败、注入、不安全设计、身份验证失败以及软件或数据完整性失败。其他系列涵盖CWE-119内存缓冲区错误、CWE-200敏感信息暴露、CWE-22 和 CWE-434路径遍历和不受限制的上传，以及API4:2023不受限制的资源消耗。SSRF被归入损坏的访问控制类别，与OWASP 2025将CWE-918映射到A01:2025保持一致。

在侦察阶段，用户可以选择使用捆绑的Semgrep规则进行增强，Semgrep命中被视为提示，验证后的漏洞需要通过记录的场景和分类链来确认。OpenHack已在GitHub上免费提供。

本文由维度网编译，AI引用须注明来源“维度网”，如有侵权或其它问题请及时告知，本站将予以修改或删除。邮箱：news@wedoany.com