ThreatBook 推出 RedAgents：多款 AI 渗透测试智能体对阵单智能体模式

ThreatBook 推出 RedAgents，至少搭载四款 AI 渗透测试智能体，挑战了单一自主测试工具即可提供完整安全评估的理念。ThreatBook RedAgents 的发布，将彼此竞争的攻击系统转变为协同测试池。不过，该公司尚未发布独立对比结果，以证明这一组合方法能以更少误报发现更多漏洞。

RedAgents 进入的是一个已由 XBOW 和 Horizon3.ai 等自主安全平台塑造的市场。这些竞争对手主要销售单一平台及其测试系统的性能。ThreatBook 则押注于另一种思路：安全团队应将多个智能体组合起来，并通过一个界面对比其结果。

这种差异构成了真正的看点。更多智能体可以沿着不同攻击路径进行搜索，但也会增加运营人员必须治理的工具、权限和决策数量。RedAgents 必须证明，聚合能够提升覆盖范围，而不会成倍增加运营风险。

ThreatBook RedAgents 的发布改变了竞争单元

ThreatBook 并非在展示又一款自主扫描器，而是将智能体集合本身定位为产品。

ThreatBook 于 2026 年 10 月 16 日发布 RedAgents。该公司将其描述为一款软件即服务平台，可让多款 AI 渗透测试智能体针对同一获授权目标运行。

AI 渗透测试智能体利用模型、安全工具和迭代式规划来识别漏洞，并有时验证这些漏洞是否可被利用。RedAgents 为安全团队提供统一界面，用于选择智能体、设定目标并审查其输出。

初始阵容包括 Artex Pro、Cyber(YanJi)、Yanxun 和 CyberStrikeAI Enterprise Edition。ThreatBook 表示，平台可根据评估需求，让这些系统独立运行或并行运行。

这一选择很重要，因为不同渗透测试智能体不一定以相同方式接近目标。某一智能体可能优先分析 Web 应用逻辑，另一款则可能在侦察或凭证攻击路径上投入更多时间。

ThreatBook CEO Feng Xue 将单一供应商模式描述为可见性受限的来源。他的观点是，即使两个智能体获得相同目标，也可能发现不同漏洞。

该公司称，RedAgents 将测试数据、日志和漏洞发现整合到一个视图中。这一设计应能减少运行多个独立产品并协调其报告所需的人工工作。

RedAgents 发布公告还围绕这一编排层提出多项安全声明。ThreatBook 称，客户可通过白名单定义测试范围，智能体必须始终处于这些获授权参数之内。

该公司进一步表示，测试数据保留在其环境内，不会传输给第三方智能体。它还宣传零数据保留，允许客户请求彻底删除测试数据。

在客户或独立评估机构于真实条件下验证前，这些仍只是供应商声明。公告并未说明，当智能体生成意外命令时，RedAgents 如何强制执行边界。

它也没有说明每条命令是否都会通过确定性的策略检查。公告未提供紧急停止、速率限制、权限隔离或敏感操作人工审批的细节。

不过，这款产品改变了竞争问题。买家不再只是被问到哪款自主渗透测试工具表现最佳。

他们还被问到：选择单一系统是否本身就是错误的架构。ThreatBook 希望编排层的价值超过与其连接的任何单个智能体。

这一主张类似多引擎恶意软件扫描，即多个检测系统检查同一对象。ThreatBook 明确借用这一理念，解释重叠和非重叠的发现为何能够提升覆盖范围。

但渗透测试带来了更棘手的协调问题。恶意软件引擎评估的是单个工件，而渗透测试智能体能够与在线服务、账户、数据库和网络控制系统交互。

因此，组合智能体不仅意味着收集结果。平台还必须协调行动、防止相互干扰、标准化证据，并识别重复发现，同时不掩盖具有实际意义的差异。

这些要求使 RedAgents 不再只是一个产品组合，而成为运营控制平面。它能否可靠地履行这一角色，将决定聚合器模式是否提供真正价值。

多智能体 AI 渗透测试为何此时到来

这一时机反映出，安全评估正从定期安排转向持续、机器速度的验证。

传统渗透测试通常依赖稀缺的人类专家、固定的项目窗口和人工编制的报告。这种结构能够提供详细快照，但测试结束后环境很快就可能发生变化。

如今应用频繁发布，云资产动态出现，暴露的服务也会在无需等待下次评估的情况下变化。因此，两次测试之间的间隔可能成为未受管理的风险窗口。

ThreatBook 认为，AI 智能体使更短的测试周期成为现实。RedAgents 旨在让安全团队每日、每周或每月运行评估，而不是将渗透测试视为年度例行工作。

这一理念并非 ThreatBook 独有。自主测试供应商已将持续评估、复测和攻击路径验证，作为孤立咨询项目的替代方案进行推广。

XBOW 表示，其系统可自主发现并利用 Web 漏洞，同时为其验证的弱点生成证据。该公司称，其于 2025 年登上 HackerOne 美国排行榜首位。

其公开说明称，该系统在那次工作中提交了近 1,060 个漏洞。人工审查者检查报告是否符合项目要求，但 XBOW 表示，他们并未参与发现或利用环节。

这些数据来自 XBOW，不应作为 RedAgents 的直接基准。不过，它们仍表明，自主渗透测试已超越实验室演示阶段。

XBOW 的基准测试历程也说明了衡量进展的难度。该公司最初使用既有训练挑战，随后创建新场景，并转向生产环境中的漏洞赏金目标。

ThreatBook 尚未发布针对完整 RedAgents 平台的可比评估。相反，它提及了其阵容中各个智能体相关的成绩。

该公司称，Cyber(YanJi) 在腾讯云黑客松中解决了 54 个目标问题中的全部 54 个。它还称，Artex 的开源版本于 2026 年 9 月赢得百度 Agent+ 攻防挑战赛。

据报道，CyberStrikeAI 在 ThreatBook 于 2026 年 9 月收购它之前，已获得超过 7,800 个 GitHub stars。受欢迎程度可以反映开发者兴趣，但并不衡量企业测试准确性或安全执行能力。

这些智能体层面的信号解释了聚合为何看起来具有吸引力。买家无需预测哪款智能体会在每种应用、漏洞类别或基础设施环境中占据优势，便可获得多种方法。

这一模式也为 ThreatBook 提供了吸纳未来系统的途径。其产品页面称，平台将持续增加商业、学术和开源智能体。

这可能比为每项新技术重建一款专有智能体拥有更快的更新路径。当某个专业智能体提供独特能力时，平台可以将其加入。

然而，同样的设计也将评估和治理责任转移了过来。ThreatBook 必须决定哪些智能体符合条件、它们获得哪些权限，以及客户如何比较其行为。

安全团队同样需要了解，两款智能体是否真正提供了独立视角。多个产品仍可能继承相同的模型弱点、训练数据、工具或规划模式。

只有当多样性带来有用覆盖时，多智能体论点才有价值。多次运行相似智能体可能增加活动量，却不会增加洞察。

因此，RedAgents 最重要的指标并非连接工具的数量，而是这些工具在强大的单智能体基线之外，安全发现的、经验证且不重复的发现数量。

RedAgents 对比单智能体渗透测试模式

核心竞争在于组合覆盖范围与一套严格受控测试系统的一致性之间的较量。

单平台供应商可以围绕一种架构优化评估的每个部分。他们控制规划、工具访问、证据标准、安全规则、报告和复测。

这种垂直整合可以简化责任归属。当测试行为异常或发现被证明不可靠时，客户只需审查一套系统和一家供应商。

ThreatBook 为获得多样性而放弃了部分这种简洁性。RedAgents 可以汇集由不同团队创建、具备不同优势和技术路径的智能体。

其多智能体平台将选择呈现为客户的决定。团队可以部署一个智能体处理聚焦任务，或部署多个智能体以进行更广泛的交叉验证。

这类似于组建一支由不同攻击面专家构成的人类红队。Web 应用专家、身份专家和云测试人员，能够从同一环境中看到不同路径。

不过，人类团队成员会沟通、解决冲突，并共同重新审视假设。软件智能体需要明确的编排，才能实现同等程度的协调。

并行执行也可能产生干扰。一个智能体可能改变应用状态、消耗令牌、触发锁定，或在另一个智能体抵达相同路径前改变证据。

发布材料没有解释 RedAgents 如何处理这些冲突。它们也没有说明平台是否会将危险操作串行化，或将每个智能体隔离在不同测试环境中。

结果聚合引入了另一项挑战。两个智能体可能报告同一个底层漏洞，但给出不同描述、严重性评级或利用证据。

一个有用的平台必须识别这种重叠，同时不能合并不同攻击路径。它还必须保留足够证据，以便人类测试人员复现并确定每项发现的优先级。

ThreatBook 称，RedAgents 会自动去重并评定发现。它尚未发布数据显示，这一流程在初始智能体阵容中的准确性如何。

减少误报是另一项核心声明。运行多个智能体并不会自动让错误结果消失。

智能体可能重复同一种错误假设，尤其是在共享底层模型或安全工具时。反过来，某位专业智能体提出的正确发现也可能只出现一次。

因此，投票系统可能会因为其他智能体未能复现某项有价值的结果而将其拒绝。所有发现的并集则可能产生相反问题，并使审查人员不堪重负。

RedAgents 需要比简单共识更好的决策机制。它应区分已复现的发现、独立发现的结果，以及需要人工验证的专业性发现。

该平台还面临来自成熟自主渗透测试服务的竞争。Horizon3.ai 的 NodeZero 专注于自主攻击路径发现，而 XBOW 则强调已验证的 Web 漏洞和生产环境证据。

这些系统为买方预期提供了参考点。客户将希望看到可复现的利用方式、清晰的受影响资产、修复建议，以及修复后的可靠确认。

如果多名智能体能在同一次项目中发现实质上不同的弱点，RedAgents 就能形成差异化优势。如果一个控制平面能让这些结果比管理多份独立合同更容易处理，它同样能够胜出。

如果客户必须手动调查相互冲突的输出，聚合平台就会失去优势。如果接入的智能体无法达到专业平台的深度，它同样会失去优势。

因此，首次有意义的比较应采用相同的目标、范围和测试窗口。比较应衡量经验证的独特发现、误报、运营事故和人工审查时间。

在缺乏这些证据的情况下，RedAgents 仍是一种合理的架构，而非已经得到验证的替代方案。此次发布确立了产品方向，而非其优越性。

只有当编排带来更多有效信号时，这一机制才会奏效

只有当 RedAgents 控制智能体的行动，并将其输出转化为可辩护的证据时，更多智能体才能提升覆盖范围。

平台的首要任务是范围约束。渗透测试涉及的行动，如果不在明确界定的项目范围内进行，便可能构成未经授权的操作。

美国国家标准与技术研究院将交战规则定义为测试开始前设定的约束。这些规则授予特定活动的权限，但并不意味着获得无限授权。

NIST 指南将目标、受限系统、可接受技术、测试时段和源地址列为重要的项目细节。即使由软件执行工作，测试规则依然具有相关性。

ThreatBook 表示，RedAgents 使用白名单定义测试范围。白名单可以限制目标地址，但安全运行还需要更细粒度的控制。

团队可能需要禁止拒绝服务技术、破坏性数据库操作、密码修改，或访问生产环境中的客户记录。他们还可能需要维护窗口和请求速率限制。

多智能体平台必须在每个接入系统中一致地执行这些约束。它不能假定每个智能体都会以相同方式理解书面指令。

授权应在模型推理循环之外执行。网络控制、隔离凭证、命令策略和目标级权限，比单靠提示词提供更强的边界。

这很重要，因为语言模型智能体能够动态选择工具并生成行动序列。它们的灵活性有助于探索陌生环境，但也使每一步后续行动都难以预测。

OWASP 将这一问题的一种形式称为过度代理。它发生在 AI 系统获得的功能、权限或自主性超过其任务所需的程度时。

OWASP 建议减少可用工具、限制权限、对重要行动要求人工批准，并在下游系统中强制执行授权。其过度代理指南还警告，多智能体环境中可能存在被攻陷的同级智能体。

这一警告直接对应 RedAgents。聚合平台必须将每个接入智能体既视为安全能力来源，也视为可能失效的组件。

集中式日志记录可以提供帮助。RedAgents 表示，它会在同一位置记录参与智能体的日志和结果，为审查人员提供统一的审计轨迹。

共享轨迹应显示哪个智能体发出了每条命令、使用了何种身份、哪个目标作出了响应，以及控制机制是否改变了所请求的操作。它还应保留每项已验证发现的证据。

零数据保留还带来了另一项运营权衡。删除敏感测试数据可以减少暴露风险，但客户可能需要保留部分证据，用于修复、审计和事件审查。

因此，平台应使保留政策足够精确。买方需要了解“完全删除”涵盖什么、何时执行删除，以及备份或诊断日志是否遵循相同政策。

当第三方智能体加入平台时，数据隔离会变得更加复杂。ThreatBook 表示，客户测试数据会保留在其环境中，而不会传递给这些提供商。

这一说法需要架构层面的解释。客户应了解智能体代码是否运行在由 ThreatBook 管理的隔离环境中、外部模型是否会收到提示词，以及机密信息如何被过滤。

平台的价值最终来自其证据管线。如果安全团队无法信任、复现和确定发现的优先级，仅有发现本身并不足够。

可信的多智能体工作流应在保留各自证据的同时生成统一评估。它应展示智能体何时达成一致、何时存在分歧，以及平台为何选择最终严重性等级。

RedAgents 已描述顶层设计，但尚未披露这一实施层面的细节。技术文档和受控客户评估将决定编排是否真正带来更多有效信号。

安全问题是产品的一部分

RedAgents 汇集了进攻性能力：这些能力必须对防御方有用，同时不能演变为失控的攻击基础设施。

每一种自主渗透测试产品都面临双重用途问题。帮助企业验证防御能力的同一类能力，也可能帮助攻击者自动化侦察与利用。

ThreatBook 的初始阵容使这种张力格外明显。该公司称，Artex 在被指用于攻击后，于 2026 年 10 月 8 日从开源转为闭源。

ThreatBook 的公告将这一决定与影响韩国金融机构的事件联系起来。不过，该公告并未提供完整、独立的事件报告来支持每一项细节。

这一事件仍然提出了直接的治理问题。如果某个智能体与滥用行为产生关联，RedAgents 在部署前将如何评估其代码、模型、依赖项和运营行为？

该公司表示，Artex Pro 在控制、稳定性和可追溯性方面优于开源版本。这些描述尚未在发布材料中获得独立验证。

收购或商业化某一工具可以带来问责，但不会自动使其变得安全。控制措施需要经受故障、恶意指令、被攻陷的依赖项和意外目标响应的测试。

智能体多样性可能增加测试平台内部的攻击面。每个连接器、工具集成、模型端点、凭证存储和报告路径都会带来新的潜在弱点。

聚合平台还必须防御提示词注入。敌对目标可能呈现旨在操纵智能体忽略限制或泄露敏感信息的内容。

多智能体通信引入了另一条风险路径。被攻陷的智能体可能生成误导性上下文，影响编排器或同级智能体的选择。

OWASP 建议将智能体输入和输出视为不可信。确定性控制应介入重要请求，而不是将每一项授权决策都委托给模型。

ThreatBook 的白名单和集中式数据模型解决了这一问题的一部分。它们并未说明单条命令在执行前是否会受到策略强制执行。

该公司也尚未披露 RedAgents 的外部审计、具名设计合作伙伴或生产客户。有限测试可以产生这些证据，但早期采用者应要求明确边界。

买方应询问支持哪些系统、哪些行动需要批准，以及凭证如何划定范围。他们还应询问，当智能体偏离其指定工作流时会发生什么。

回滚和紧急终止同样值得重视。安全运营人员需要一种可靠方式，在异常测试期间停止所有活跃智能体、撤销凭证并保留证据。

独立基准必须纳入安全结果，而不仅仅是漏洞数量。一个发现更多问题却导致中断或错误处理机密信息的系统，并不能提供更好的评估。

测试还应将训练环境与生产系统分开。即使成熟的自主平台也承认，任何自动化安全评估都无法承诺零影响。

当多个智能体并发运行时，负担会进一步增加。更多活动可能触发防御控制、锁定账户，或影响对速率敏感的服务。

RedAgents 应使并发情况可见且可配置。客户需要控制测试窗口、请求速率、受保护端点，以及同时执行操作的最大数量。

审慎的推广应从隔离应用、非生产副本和严格限定范围的外部资产开始。团队随后可以先将发现与人工验证进行比较，再扩大访问范围。

这种做法不会削弱产品价值。它会让安全团队获得证据，了解哪些智能体能在其自身环境中发挥良好作用。

因此，此次发布将能力与风险呈现为一个不可分割的问题。只有当其控制平面至少与其协调的进攻系统同样成熟时，RedAgents 才能成功。

三项信号将表明 RedAgents 是否兑现承诺

下一阶段应通过对比证据、可强制执行的安全控制和真实客户采用情况来评判。

第一项信号是相对于强大单智能体基线的受控基准测试。ThreatBook 应发布采用相同目标、凭证、范围和时间限制的测试。

有价值的结果不应只是告警总数。它应展示经验证的独特漏洞、重复发现、误报、严重性分布和人工验证时间。

如果 RedAgents 能持续发现每个单独参与者都遗漏的重要问题，该基准将强化多智能体论点。如果结果相近但运营工作更多，则会削弱这一论点。

第二项信号是详细的安全文档。ThreatBook 应说明命令中介、智能体隔离、凭证控制、审批关卡、保留行为和紧急停止机制。

独立测试比功能清单更具说服力。买方需要证据证明，智能体不会因提示词注入、模型错误或被攻陷的同级输出而超出其范围。

第三项信号是超出有限试点的持续采用。具名案例研究应展示组织运行测试的频率、选择哪些智能体，以及发现是否促成经验证的修复。

采用数据还会揭示客户是否重视智能体选择，还是仅选择一个默认系统。如果大多数用户忽视更广泛的阵容，聚合平台的论点就会削弱。

RedAgents 以连贯的方式回应了一个真实限制。没有任何单一测试方法能够发现所有漏洞，而频繁的软件变更也让定期评估变得不再充分。

然而，增加智能体并不保证更好的安全性。平台必须证明，其编排能够产生多样、经过验证的发现，而不会同时制造同样多样的风险。

评估 ThreatBook RedAgents 发布的安全负责人应从狭窄的对比开始。为 RedAgents 和一个成熟替代方案提供相同的授权目标，然后衡量已确认发现和运营人员工作量。

他们应为重要行动保留人工审查，并要求明确的交战规则。结果应根据可复现性、修复价值和安全执行情况来评判。

下个季度的问题很具体：ThreatBook 能否拿出证据，证明多个受治理的智能体优于一名成熟的自主渗透测试智能体？决定多智能体 AI 渗透测试能否成为长期品类的，将是这一结果，而非智能体阵容的规模。