用open-kritt让AI代理自动挖代码漏洞，安全审计副业真能搞钱？

代码漏洞就是白花花的银子，但人工审计太费劲了

现在网上随便一个RCE漏洞都能卖几千上万，SRC平台挖洞赏金也越来越高。但问题来了——传统漏洞扫描器只会跑规则，误报多到怀疑人生；人工审计又太吃经验，一个参数一个参数地跟，眼睛都看瞎了。有没有那种既能像黑客一样思考，又不用自己动手的方案？

最近GitHub上冒出来一个叫open-kritt的项目，热度蹭蹭涨，star数几天冲到359。它的思路挺有意思：用AI代理（Agent）来自动找代码里的真实漏洞，不是简单跑规则，而是让AI像人一样去理解代码逻辑，然后尝试攻击。这套方案特别适合想靠安全审计搞副业的人——把脏活累活丢给AI，自己躺着收漏洞报告。

open-kritt是个啥？一句话：编排AI代理挖漏洞的框架

根据项目介绍，open-kritt是一个基于JavaScript的工具，能编排多个AI代理协作，针对代码库进行漏洞挖掘。它不像传统扫描器那样只做静态分析，而是让AI代理动态地理解代码上下文，模拟攻击者的思路去找注入、越权、逻辑漏洞这些“聪明洞”。

整个流程大概是这样的：你给它一个代码仓库，它会把代码喂给AI模型，AI代理会分角色——有的负责理解业务逻辑，有的尝试构造攻击载荷，有的验证漏洞是否存在。最后输出一份漏洞报告，告诉你哪里有问题、怎么利用、危害多大。

它和普通扫描器区别在哪？

传统扫描器（比如SonarQube、Checkmarx）基本是正则匹配+数据流分析，规则写死了，遇到复杂业务逻辑就抓瞎。open-kritt用大语言模型（LLM）的推理能力，能看懂“这段代码是干嘛的”，甚至能发现逻辑漏洞，比如“这个接口没做权限校验，普通用户能删管理员账号”——这种洞规则很难描述，但AI读得懂。

实际能拿来干啥？副业变现的几种姿势

1. 接私单做渗透测试

现在很多小公司没有安全团队，但有合规需求，或者怕被黑产搞。你可以用open-kritt去扫他们的Web应用、API接口，自动生成漏洞报告，修一个洞收几百到几千不等。比起手动挖，效率翻倍。

2. 批量刷SRC赏金

国内漏洞响应平台（SRC）比如腾讯、阿里、字节的，提交有效漏洞就有钱。open-kritt能帮你自动分析目标站点的前端代码（如果是开源的）或者反编译后的代码，快速定位可疑点。虽然AI不能完全替代手工，但能极大缩小范围，让你专攻高危。

3. 做安全审计SaaS

如果你会点开发，可以把open-kritt包装成在线服务，客户上传代码包，你自动出审计报告，按次收费。这玩意儿部署成本低，服务器跑个AI模型就行，边际成本几乎为零。

4. 教学/内容变现

安全培训现在火得一塌糊涂。你可以用open-kritt演示AI如何挖洞，录成课卖，或者写公众号文章引流，接广告、带徒弟。这工具本身就是个很好的内容素材。

使用门槛高不高？手把手带你跑起来

项目是用JavaScript写的，所以环境要求很简单：Node.js装好就行。README里给了基本用法，大概是：

1. 克隆仓库，npm install 装依赖。
2. 配置AI模型接口（目前支持OpenAI格式的API，意味着你可以接GPT-4、Claude，或者本地模型）。
3. 指定目标代码目录，运行命令，等着出报告。

据项目介绍，它支持多种代码语言，因为底层AI模型能理解不同语法。不过具体效果肯定跟模型能力挂钩，建议用GPT-4级别的模型，否则可能产生大量误报。

成本方面：API调用要花钱，一次完整扫描大概消耗几百万token，按GPT-4的定价，几美金到十几美金。如果能挖到值钱的洞，这点成本完全可以忽略。

跟其他方案比，open-kritt香在哪？

市面上也有类似的AI审计工具，比如Semgrep加了GPT辅助，或者一些商业产品。但open-kritt的优势在于：

• 完全开源：代码随便看，不用担心后门，还能自己魔改。
• 代理协作：不是简单地问AI“这段代码有漏洞吗”，而是编排多个代理分工合作，理论上效果更好。
• 专注漏洞挖掘：不像通用代码助手，它只做安全审计，流程优化得更彻底。

缺点当然也有：目前项目还比较早期，文档不够详细，社区小，遇到问题可能得自己啃代码。另外，AI的幻觉问题没法完全避免，可能报一些不存在的漏洞，需要人工复核。

想靠这工具搞钱，几个建议先收好

1. 别指望全自动：AI挖洞目前还处于辅助阶段，最终确认还得靠人。把open-kritt当成你的“超级实习生”，它找线索，你做判断。
2. 结合传统工具：先用Nuclei、Burp Suite跑一遍常见漏洞，再用open-kritt深挖逻辑洞，组合拳效率最高。
3. 注意法律风险：只在授权范围内测试！未授权挖洞是违法的，别拿自己前途开玩笑。
4. 持续跟进更新：项目迭代快，多关注GitHub，新功能可能带来新玩法。

总结：这可能是安全审计副业的下一个风口

open-kritt把AI代理和多角色协作引入漏洞挖掘，思路挺超前。虽然目前不是开箱即用的印钞机，但已经展现出潜力。对于想靠安全技术搞副业的人来说，这工具能大幅降低挖洞门槛，让你不用成为资深黑客也能产出有价值的漏洞报告。

趁着现在用的人还不多，赶紧上手试试，说不定下一个SRC赏金猎人就是你。