azrielnan/artex-ko-main

如果你已经在做获得授权的渗透测试，并希望用 Agent 驱动流程、同时留下可复核的证据链，ARTEX 值得花时间评估；它不是开箱即用的扫描器。

解决什么问题

一次授权测试通常从资产发现开始，然后手工探测，笔记散落在终端日志、代理历史和漏洞文档里。写报告前，测试者要先把这些材料拼起来，每个漏洞的证据往往还要事后重建。ARTEX 把这套流程搬进一个 Web 平台：Planner 提出步骤，Worker 执行工具调用，资产、探索链路、录制的流量和漏洞发现连同来源一起持久化。你得到的是一条可暂停、可恢复、可整理成报告的任务记录，而不是一堆彼此割裂的产物。

有什么不同

它的重心是编排，而不是新增一个扫描器。Go 后端把 Next.js 前端嵌入单个二进制，用 PostgreSQL 持久化，Agent 通过 norma SDK 调用工具并记录可追溯的证据。录制型代理保存请求、响应和活动轨迹；漏洞有独立的复测会话，保留结论与历史。任务流程内建人工审批，你可以在 Agent 继续之前介入。

安全测试与逆向分析被刻意隔离：会话、提示词、Agent 上下文、资产、流量和发现都分开保存，逆向任务读不到安全测试状态。逆向模式默认关闭，通过可选的 REA MCP 分析本地程序、软件包、源码树和运行时材料 REA 项目。

代价是运维面变大。你要跑 Go 服务、PostgreSQL 和录制代理，启用逆向时还要准备基于 Node 的 REA 运行时，比命令行工具需要更多配置和日常照看。README 还特别提示，默认 Docker Compose 拉取的是上游 autumn27/artex 镜像，可能落后于本仓库源码，所以 Compose 路径拿不到最新功能 项目说明。另有一个明确标注模拟数据、不连接真实目标的在线 Demo 在线 Demo。

谁值得试

适合：做授权项目的小型安全团队或独立测试者，希望 Agent 辅助发现资产，同时保留一份可审阅的“碰过什么、发现了什么”的记录。需要向客户解释结果或内部复核时，审批环节和模式隔离很有用。

不适合：想找一条命令搞定扫描的人，或者没有书面授权就想测试他人系统的人。README 的免责声明把法律责任说得很明确，这个平台也不能替你划定测试范围。只需要逆向分析的人同样不适合：REA 模式要启用 MCP 服务，在发布包之外还需要 Node.js 22.19+、24.11+ 或 26+，以及各分析器自己的依赖。

使用条件与边界

四条安装路径的要求不同，选错会直接影响能不能用上想要的功能。安装脚本需要 Docker，或本机 Go、Node.js 和 PostgreSQL；Docker Compose 只需要 Docker 和改好的 .env，但可能提供旧代码；Windows Release 包内置 PostgreSQL 和 REA 运行时，不需要另装 Go、Node.js 或 PostgreSQL，但必须完整解压到可写目录并通过启动脚本运行，不能直接运行 exe 发布包。Linux 和 macOS 则需要预先配置 PostgreSQL。

日常维护比首次安装更值得关注。启动脚本负责更新后重新拉起和失败回滚，README 明确要求不要直接运行二进制。Windows 用户从 0.3.19 升级需要下载完整包来更新旧启动器，升级前备份数据，不要混用 PostgreSQL 不同主版本的数据目录。LLM 需要自备供应商、模型和 API Key，在系统设置或环境变量里配置。

HotRepo 点评

HotRepo 从 2026-10-24 开始跟踪该仓库，当时它创建 10 天，2026-10-25 在新项目榜（并非总榜）记录到 #20，共 116 stars；这只是单日快照，不是每日增长序列，无法据此判断热度能否持续。动手之前最该核实的一点是：你打算使用的安装路径是否真的包含你需要的新功能，因为 README 自己也承认默认 Compose 镜像可能落后于源码。