在网络安全领域，渗透测试始终是一项高度依赖专业人工经验的任务。从信息收集（Reconnaissance）到漏洞利用（Exploitation），再到最终报告生成（Reporting），每个环节都需要安全工程师进行复杂的决策判断。随着大语言模型（LLM）技术的成熟，能否构建一个能够自主完成渗透测试全流程的多智能体系统？PentAGI 项目正是这一方向的实践产物，它将人工智能代理技术与传统渗透测试工具深度融合，设计了一套完整的自动化渗透测试架构。本文将从系统架构、智能体协作机制、记忆系统与知识图谱三个维度，解析 PentAGI 如何实现从目标识别到报告生成的端到端自动化。
一、整体架构与核心组件
PentAGI 的架构设计遵循微服务化原则，整个系统由多个松耦合的容器化服务组成，各组件之间通过异步消息队列和 GraphQL API 进行通信。从功能划分角度，系统可以拆解为六个核心层次：核心服务层、知识图谱层、监控可观测层、分析平台层、安全工具层以及接口层。
核心服务层是整个系统的运算中枢，由 Go 语言编写的后端 API 服务、React 与 TypeScript 构建的前端 Web UI、PostgreSQL 配合 pgvector 扩展构成的向量数据库、以及负责异步任务调度的任务队列组成。Go 后端同时提供 RESTful 和 GraphQL 两种接口模式，这种双协议支持使得系统既能够满足简单场景下的快速集成需求，也能够处理复杂查询场景下的灵活数据获取。前端界面则提供了任务创建、实时监控、报告查看等完整的管理功能，安全工程师可以通过图形化界面全程观察智能体的推理过程与执行进度。
安全工具层集成了超过二十款专业渗透测试工具，包括但不限于网络扫描工具 nmap、漏洞利用框架 metasploit、SQL 注入工具 sqlmap 等。这些工具运行在隔离的 Docker 容器环境中，通过沙盒机制确保测试操作不会影响宿主机或其他非目标系统。系统会根据任务类型自动选择合适的容器镜像，例如针对 Web 应用测试会自动调度包含 Burp Suite 的 Kali Linux 镜像，针对网络层扫描则可能使用轻量级的 Debian 基础镜像。这种基于任务特征的智能镜像选择机制既优化了资源利用率，也保证了工具链的完整性。
在监控可观测层，PentAGI 采用了业界标准的 OpenTelemetry 作为统一的数据采集标准，通过 VictoriaMetrics 存储时序指标、Jaeger 提供分布式追踪、Loki 聚合日志数据，最终在 Grafana 仪表板上进行可视化展示。这套监控体系不仅能够帮助运维人员实时掌握系统健康状态，更重要的是能够追踪每一个渗透测试任务的完整执行链路，从宏观的任务调度到微观的单次工具调用都能够追溯，这对于分析智能体决策逻辑、诊断执行异常具有重要价值。
二、多智能体协作与任务分解机制
PentAGI 的核心竞争力在于其多智能体（Multi-Agent）架构设计。与单一大语言模型直接处理整个渗透测试任务不同，PentAGI 将测试流程拆解为多个专业化角色，各角色之间通过结构化的通信协议协同工作。这种设计理念借鉴了软件工程中的分而治之思想：让擅长信息收集的智能体专注于目标侦察，让精通漏洞利用的智能体负责攻击尝试，让具有结构化输出能力的智能体承担报告撰写职责。
系统定义了一个清晰的任务层次结构：Flow（渗透测试任务流）包含多个 Task（任务），每个 Task 又细分为多个 SubTask（子任务），而 SubTask 最终对应具体的 Action（动作）。这种四级层次结构使得复杂的大规模渗透测试可以被分解为可管理的原子单元。例如对一个目标域名的完整渗透测试可能被分解为：子域名枚举任务、端口扫描任务、漏洞识别任务、漏洞利用任务、权限提升任务和报告生成任务。每个子任务由相应的专业智能体处理，智能体之间通过上下文传递实现信息共享。
具体来看，PentAGI 定义了四种核心智能体角色。Orchestrator（编排器） 是整个系统的中枢，负责接收用户输入的测试目标，调度其他智能体完成任务，并根据返回结果进行整体策略调整。它会首先查询向量数据库中是否存在相似历史任务的经验，然后结合当前目标的特征制定测试计划。Researcher（研究员） 专注于信息收集阶段，会调用各种侦察工具收集目标的网络拓扑、开放端口、服务版本、已知漏洞等信息，并将这些信息结构化存储供后续阶段使用。Developer（开发者） 负责将研究员收集的信息转化为可执行的攻击方案，它需要理解漏洞原理、选择合适的利用工具、构造攻击载荷。Executor（执行器） 则是最终执行攻击动作的角色，它在隔离的容器环境中运行实际的渗透工具，并记录执行的输出结果。
智能体之间的通信采用对话链（Chain）机制进行管理。随着对话轮次的增加，上下文窗口会逐渐膨胀，系统通过链摘要（Chain Summarization）技术来控制 token 消耗。该技术将对话历史转换为抽象语法树（ChainAST）表示，然后对不同区块采用不同的压缩策略：最近的问答对保持完整，较早的区块则进行压缩摘要。PentAGI 提供了丰富的配置参数来控制摘要行为，例如 SUMMARIZER_LAST_SEC_BYTES 控制最后保留的字节数（默认 50KB），SUMMARIZER_MAX_BP_BYTES 控制单次主体对的最大字节数（默认 16KB），SUMMARIZER_USE_QA 控制是否启用问答对摘要策略等。这些参数允许运维人员根据可用上下文窗口大小和任务复杂度进行灵活调优。
三、记忆系统与知识图谱的融合
传统大语言模型面临的核心挑战之一是缺乏长期记忆能力 —— 每次对话都是独立的上下文，无法从历史任务中积累经验。PentAGI 通过构建多层次的记忆系统来解决这一问题，系统将记忆划分为长期记忆（Long-term Memory）、工作记忆（Working Memory）和情节记忆（Episodic Memory）三类，每类记忆承担不同的功能角色。
长期记忆基于向量检索技术实现，系统使用 PostgreSQL 的 pgvector 扩展存储文本的语义向量表示。当智能体需要查询历史经验时，会将当前问题转换为向量表示，在向量数据库中进行相似度检索，返回历史上与当前场景最接近的成功案例。这种基于语义而非关键词的检索方式能够发现表面表述不同但实质相近的任务经验。例如，当智能体遇到一个新的 Web 框架时，系统可能检索到以往针对类似框架的成功测试经验，提供可迁移的攻击思路。
知识图谱是 PentAGI 记忆系统的另一核心组件。系统集成了 Graphiti 框架配合 Neo4j 图数据库，构建了一个专门针对渗透测试领域的知识图谱。与向量数据库侧重于相似度匹配不同，知识图谱擅长表达实体之间的关联关系。在 PentAGI 中，知识图谱会记录目标资产、发现的漏洞、使用的工具、攻击手法、测试结果之间的多层次关系。例如，图谱可以清晰表达 “某个 CVE 漏洞影响了特定版本的某服务”“该漏洞曾被某个特定的利用工具成功利用”“利用该漏洞需要特定的网络可达条件” 等复杂关系。这种关系型知识使得智能体能够进行更深入的推理，例如发现潜在的攻击路径链（Attack Chain），即从初始入口点通过一系列漏洞利用最终到达核心资产的完整攻击路径。
工作记忆则存储当前任务的实时状态信息，包括目标的当前扫描进度、各阶段发现的关键信息、待验证的假设等。这些信息以结构化形式保存在内存和数据库中，确保各智能体在协作过程中能够共享一致的上下文视图。情节记忆则记录历史任务中成功和失败的操作模式，系统会从中提取可复用的最佳实践（Best Practices），供后续任务参考。这四类记忆的协同工作，使得 PentAGI 能够在每次测试中持续学习和进化，而非每次都从零开始。
值得注意的是，Graphiti 知识图谱功能在 PentAGI 中默认是关闭的，需要在环境变量中显式启用 GRAPHITI_ENABLED=true，并配置相应的 Neo4j 数据库凭证和 Graphiti 服务地址。启用知识图谱会增加系统复杂度和资源消耗，但能够显著提升智能体在复杂场景下的推理能力。对于大规模或长期运行的渗透测试项目，建议启用该功能以获得更好的测试深度和准确性。
四、上下文管理与链摘要技术参数
在多智能体系统中，上下文窗口的管理直接决定了系统的可用性和执行效率。PentAGI 作为一款面向复杂渗透测试场景的工具，其处理的对话长度可能远超普通聊天场景 —— 一次完整的渗透测试可能涉及数百轮工具调用和结果分析。链摘要技术是 PentAGI 应对长上下文挑战的核心方案，理解其配置参数对于系统调优至关重要。
全局摘要器配置提供了十一个可调参数。保留策略方面，SUMMARIZER_PRESERVE_LAST（默认 true）控制是否完整保留最近一轮对话不进行摘要，SUMMARIZER_USE_QA（默认 true）控制是否启用问答对摘要。大小控制方面，SUMMARIZER_LAST_SEC_BYTES（默认 51200，即 50KB）设置最后区块的最大字节数，SUMMARIZER_MAX_BP_BYTES（默认 16384，即 16KB）设置单次主体对的最大字节数，SUMMARIZER_MAX_QA_BYTES（默认 65536，即 64KB）设置 QA 区块的最大总字节数。数量限制方面，SUMMARIZER_MAX_QA_SECTIONS（默认 10）设置保留的 QA 区块最大数量，SUMMARIZER_KEEP_QA_SECTIONS（默认 1）设置不参与摘要的最近 QA 区块数量。
助手级别的摘要器配置（以 ASSISTANT_ 为前缀）提供了更精细的控制能力，其默认参数通常比全局配置更为宽松。例如 ASSISTANT_SUMMARIZER_LAST_SEC_BYTES 默认为 76800 字节（75KB），大于全局的 51200 字节，这是因为助手级别的对话通常需要保留更多近期上下文以维持对话连贯性。ASSISTANT_SUMMARIZER_KEEP_QA_SECTIONS 默认为 3，显著高于全局的 1，这意味着助手级别会保留更多完整的问答历史。
在实际部署中，这些参数的调整需要权衡多个因素。如果渗透测试任务涉及大量的工具输出（例如详细的 nmap 扫描结果），可能需要增大 SUMMARIZER_MAX_BP_BYTES 以避免关键信息被过早摘要。如果智能体在长对话中容易出现 “遗忘” 早期发现的问题，可以增大 SUMMARIZER_LAST_SEC_BYTES 来扩大保留窗口。如果系统使用的 LLM 支持较大的上下文窗口（例如 128K 或更大），可以相应提高所有大小相关的阈值以获得更完整的对话视野。
五、生产环境部署考量
将 PentAGI 投入生产环境使用需要考虑多个工程层面的问题。首先是隔离与安全，PentAGI 提供了两种部署模式：单节点模式将所有组件运行在同一台服务器上，适合小规模测试和开发验证；双节点模式将核心服务与工作节点分离，工作节点运行渗透测试容器，核心服务运行在独立的安全区域。这种架构通过 Docker-in-Docker 和 TLS 认证确保即使工作节点被攻击者突破，也无法直接访问核心系统的数据。
LLM 提供商选择是另一个关键决策点。PentAGI 支持超过八种 LLM 提供商，包括 OpenAI、Anthropic Claude、Google Gemini、AWS Bedrock、Ollama 本地部署、OpenRouter、DeepSeek、Moonshot 等。不同提供商在模型能力、速率限制、价格和地区可用性方面存在显著差异。例如，OpenAI 的 o 系列模型擅长复杂推理但速率限制较严，Anthropic Claude 在安全上下文理解方面表现优异，Ollama 则适合需要完全离线部署的场景。PentAGI 允许为不同类型的智能体配置不同的模型 —— 例如使用性价比高的 Haiku 处理简单任务，使用 Sonnet 处理需要深度推理的分析任务。
外部搜索集成扩展了智能体的信息获取能力。系统支持 Tavily、Traversaal、Perplexity、DuckDuckGo、Google Custom Search、Searxng 等多种搜索引擎和 AI 搜索服务。在信息收集阶段，智能体可以调用这些外部搜索 API 获取目标的最新公开信息、相关漏洞情报、已知攻击手法等。这种外部知识集成弥补了纯本地向量检索在时效性方面的不足，使得系统能够获取到最新披露的漏洞和攻击技术。
综合来看，PentAGI 通过精心设计的多智能体协作机制、层次化的记忆系统、灵活的上下文管理策略，构建了一个相对完整的自动化渗透测试解决方案。其架构设计既考虑了功能完整性（覆盖侦察到报告全流程），也兼顾了工程实用性（容器化隔离、可观测性、多种部署模式）。当然，任何自动化系统在面对高度复杂的定向攻击时仍需要专业安全工程师的介入和判断，PentAGI 更适合作为安全团队的辅助工具，承担大量重复性的信息收集和初步漏洞探测工作，释放人力资源聚焦于更高级别的安全分析任务。
参考资料
- PentAGI 官方 GitHub 仓库：https://github.com/vxcontrol/pentagi