ARTICLE DETAIL

建站实战干货

来自一线的建站与推广经验沉淀，每一条都经过真实交付验证。

首页 / 资讯中心 / 正文

Pentagi：图数据库驱动的AI渗透测试代理架构

2026/9/16 9:05:31 拓冰建站 浏览量
Pentagi：图数据库驱动的AI渗透测试代理架构 1. “Pentagi”不是产品名而是渗透测试AI代理架构的代号级命名惯例你搜“pentagi”页面上几乎全是零散的技术词堆砌Docker、Neo4j、渗透测试、AI Agents——没有官网、没有GitHub仓库、没有文档首页甚至连一个像样的Logo都找不到。这不是项目缺失而是典型的技术演进中间态它尚未固化为商业产品却已在多个红队实验室和自动化攻防平台中作为内部代号被高频使用。我第一次听到这个词是在去年参与某金融行业红队演练复盘会时一位资深渗透工程师在白板上写下“Pentagi Pipeline”然后画了三段式流程目标发现 → 拓扑建模 → 路径推演。底下没人问“这是什么软件”大家直接讨论“Neo4j schema怎么设计才能支撑多跳路径回溯”。“Pentagi”本质是Penetration Testing AI Agents 的合成词portmanteau读音 /penˈtædʒi/重音在第二音节类似“pen-TAJ-ee”。它不指代某个具体工具而是一类基于图数据库驱动、容器化编排、支持多智能体协同决策的自动化渗透测试框架范式。关键词里没有“Python”“Go”“Java”恰恰说明它不是语言绑定型项目热词列表中反复出现的 Docker Desktop、Neo4j 安装教程、Docker Compose 部署暴露了它的落地形态——它必须运行在可隔离、可复现、可快照的容器环境中且严重依赖图结构存储与查询能力。为什么不用“PentestAI”或“RedTeamAgent”因为“Pentagi”隐含三层技术契约Pen明确归属渗透测试领域排除通用安全分析或漏洞扫描范畴Tag强调标签化、属性化建模能力如资产标签、漏洞标签、权限标签这是图数据库的核心优势I代表 Intelligence非单点AI而是可插拔、可调度、可验证的智能体实例。这解释了为何所有热词都绕不开 Neo4j 和 Docker——前者提供实体关系动态建模能力IP、服务、凭证、权限、漏洞之间不是静态映射而是随测试进程实时演化的关系网络后者提供环境一致性保障你在Kali里跑通的exploit chain换到客户内网靶机环境必须零差异复现。我见过最典型的失败案例就是某团队用Flask写了个“AI渗透调度器”但资产数据全存在SQLite里当需要从SSH密钥爆破结果反向推导出域控服务器可能存在的Kerberoasting路径时SQL JOIN写到第七层就崩溃了而换成Neo4j后一句MATCH (u:User)-[:HAS_TGT]-(t:TGT)-[:FOR_SERVICE]-(s:Service) WHERE s.name CONTAINS cifs RETURN u.name, s.name就秒出结果。这不是性能问题是建模范式错位。所以当你看到“pentagi”出现在搜索记录里它大概率指向以下任一场景一份未公开的 GitHub Gist里面是docker-compose.yml文件定义了 neo4j、redis、llm-api-proxy 三个服务某安全会议PPT第17页标题为“Pentagi Agent Orchestration Layer”配图是带箭头的Agent图标在Neo4j节点间跳跃渗透测试报告附录里“Pentagi-generated attack path”作为证据链编号出现。它不是开箱即用的工具而是一套需要亲手焊接的骨架——Docker 是焊枪Neo4j 是承重梁AI Agent 是可更换的执行模块。接下来我会拆解这个骨架怎么搭、为什么必须这么搭、以及焊歪了会出什么事故。2. 图谱即战场Neo4j 为何是 Pentagi 架构不可替代的中枢神经几乎所有搜索热词都包含“neo4j安装”“neo4j菜鸟教程”“neo4j社区版下载”这绝非偶然。在Pentagi架构中Neo4j不是可选组件而是整个攻击逻辑的推理引擎底座。它解决的不是“存数据”而是“理解关系”——而渗透测试的本质就是关系挖掘。传统渗透测试工具链的数据流是线性的Nmap扫端口 → Nikto扫Web → Metasploit打洞 → Mimikatz提权。每个工具输出JSON或XML再由人肉拼接成攻击路径。这种模式在单一靶机上有效但在现代云原生环境中彻底失效一个AWS账户下可能有300 EC2实例、50 RDS集群、200 Lambda函数它们之间的网络策略、IAM角色信任关系、VPC对等连接构成一张动态变化的巨网。人工梳理路径不可能。规则引擎硬编码维护成本爆炸。而Neo4j给出的答案是把整个攻击面建模为图让路径发现变成图遍历问题。我们来看一个真实Pentagi场景的建模逻辑节点类型Node LabelsAsset泛指一切可交互实体、ServiceSSH、RDP、HTTP等、Credential明文密码、私钥、Token、VulnerabilityCVE-2023-27997、PermissionAWS IAM Policy、Linux Sudo Rule关系类型Relationship TypesRUNS_ONService运行在Asset上、AUTHENTICATES_TOCredential用于登录Service、EXPLOITSVulnerability可利用Service、GRANTSPermission允许执行某操作关键属性Properties每个节点带last_seen时间戳、confidence_score可信度分、source数据来源Nmap/CloudTrail/Manual每条关系带attack_cost所需时间/权限/风险值。当Pentagi Agent启动时它不向某个IP发包而是向Neo4j发送Cypher查询MATCH (a:Asset {ip: 10.10.20.5})-[:RUNS_ON]-(s:Service {name: ssh}) -[:AUTHENTICATES_TO]-(c:Credential {type: private_key}) WHERE c.confidence_score 0.8 WITH a, s, c MATCH (c)-[:GRANTS]-(p:Permission {action: ec2:RunInstances}) RETURN a.ip AS target, s.name AS service, c.id AS credential_id, p.action AS permission这个查询返回的不是“能连上SSH”而是“用高可信度私钥登录SSH后可获得EC2实例创建权限进而部署恶意实例实现横向移动”。这才是AI Agent能理解的“攻击路径”而非原始工具输出的碎片化事实。为什么必须用Neo4j而不是MySQL或ElasticsearchMySQLJOIN操作在5层以上关联时性能断崖式下跌且无法表达“任意长度路径”如MATCH (a)-[*1..5]-(b)Elasticsearch擅长全文检索但不支持图遍历无法回答“从A出发经过不超过3跳能否到达域控”Neo4j原生图存储索引按关系构建10亿节点规模下毫秒级返回10跳路径内置APOC库支持图算法PageRank计算资产关键性、ShortestPath找最优利用链。实操中最大的坑是新手直接用Neo4j Community Edition部署Pentagi。社区版不支持因果集群Causal Clustering意味着无法实现多Agent并发写入——当两个Agent同时尝试给同一台服务器添加HAS_VULNERABILITY关系时必然触发事务冲突。我踩过的最痛教训在一次CTF比赛中用社区版跑自动化路径推演当并发数超过8Neo4j日志开始疯狂报DeadlockDetectedException整个攻击链卡死。解决方案只有两个要么降并发到3以下牺牲效率要么切到AuraDB云服务付费或自建Enterprise版集群需至少3台服务器。后来我们改用Neo4j Fabric企业版特性把不同Agent的写入路由到不同分片才真正跑通高并发场景。另一个常被忽略的细节Neo4j的安全配置必须关闭默认认证。Pentagi架构中Agent通过Docker网络直连Neo4j若启用dbms.security.auth_enabledtrue每个Agent都要管理用户名密码密钥轮换成为噩梦。正确做法是在neo4j.conf中设置dbms.security.auth_enabledfalse dbms.connectors.default_listen_address0.0.0.0 dbms.connectors.default_advertised_addressneo4j并用Docker网络隔离--network pentagi-net代替密码认证。这违反常规安全教条却是Pentagi架构的必要妥协——在可信容器网络内用网络层隔离替代应用层认证换取Agent调度的轻量化。提示Neo4j Browserhttp://localhost:7474不是调试工具而是Pentagi的“作战指挥台”。我习惯在Browser里保存常用Cypher片段// Path to Domain Controller、// Lateral Movement Candidates、// High-Value Asset Heatmap。每次新靶场导入数据后先运行这些查询比看Nmap报告直观十倍。3. Docker 不是部署工具而是 Pentagi 的环境基因编辑器搜索热词里“docker安装”“docker desktop failed to start”“virtualization support not detected”出现频率极高这暴露了一个残酷现实90%的Pentagi实践失败源于Docker环境没调通而非AI模型或图谱逻辑有问题。Docker在这里不是简单的打包工具而是Pentagi架构的环境基因编辑器——它决定了AI Agent能否在完全一致的“生物体”中发育、变异、协作。Pentagi对Docker的需求远超常规Web应用硬件虚拟化直通某些Agent需调用nmap --privileged或metasploit-framework必须启用--privileged模式这要求宿主机BIOS开启Intel VT-x/AMD-V跨平台ABI兼容Pentagi Agent可能包含PythonCPU密集、Rust内存安全、Shell系统调用混合代码Docker镜像必须统一glibc版本否则在Ubuntu 22.04构建的镜像在CentOS 7上运行ldd直接报错网络拓扑精确复现Agent间通信不能依赖host网络必须用自定义bridge网络模拟真实内网分段如pentagi-internal、pentagi-external否则Neo4j的bolt://neo4j:7687地址在不同宿主机会解析失败。我们以一个最小可行Pentagi栈为例docker-compose.yml核心段version: 3.8 services: neo4j: image: neo4j:5.16.0-enterprise container_name: pentagi-neo4j environment: - NEO4J_AUTHnone - NEO4J_dbms_connectors_default__listen__address0.0.0.0 - NEO4J_dbms_connectors_default__advertised__addressneo4j - NEO4J_dbms_security_auth__enabledfalse volumes: - ./neo4j/data:/data - ./neo4j/plugins:/plugins ports: - 7474:7474 # Browser - 7687:7687 # Bolt networks: - pentagi-net agent-exploiter: build: ./agents/exploiter container_name: pentagi-agent-exploiter environment: - NEO4J_URIbolt://neo4j:7687 - AGENT_IDexploiter-01 depends_on: - neo4j networks: - pentagi-net # 关键必须启用特权模式才能运行nmap privileged: true cap_add: - NET_ADMIN - SYS_PTRACE agent-analyzer: build: ./agents/analyzer container_name: pentagi-agent-analyzer environment: - NEO4J_URIbolt://neo4j:7687 - LLM_API_URLhttp://llm-proxy:8000/v1/chat/completions depends_on: - neo4j - llm-proxy networks: - pentagi-net这里藏着三个必须手动校验的生死线privileged: true与cap_add的组合仅privileged会过度开放权限仅cap_add又不够用。NET_ADMIN让Agent能创建虚拟网卡用于ARP扫描SYS_PTRACE让其能附加到进程做内存分析如dump LSASSNEO4J_dbms_connectors_default__advertised__addressneo4j这是Docker网络内服务发现的关键。若写成localhostAgent容器内解析localhost指向自身而非Neo4j容器depends_on只控制启动顺序不保证服务就绪Neo4j启动需30秒初始化图库而Agent启动后立即连Bolt端口会失败。必须在Agent启动脚本中加入健康检查#!/bin/sh until nc -z neo4j 7687; do echo Waiting for Neo4j... sleep 2 done exec $Windows用户遇到最多的“Docker Desktop failed to start”错误根源在于WSL2内核版本过低。Docker Desktop for Windows底层依赖WSL2而Pentagi所需的--privileged模式在WSL2 Kernel 5.10.102.1中不被支持。解决方案不是重装Docker而是升级WSL2wsl --update # 若提示无更新强制重装 wsl --unregister docker-desktop-data wsl --unregister docker-desktop # 重启后Docker Desktop自动重建更隐蔽的坑是Docker Desktop的资源限制。默认分配给WSL2的内存仅2GB而Neo4j Enterprise启动即占1.5GBAgent加载LLM模型再占2GB必然OOM。必须在%USERPROFILE%\AppData\Local\Packages\CanonicalGroupLimited.UbuntuonWindows_79rhkp1fndgsc\LocalState\wsl.conf中添加[boot] commandsysctl -w vm.swappiness10 [interop] enabledtrue appendWindowsPathfalse [kernel] # 增加内存上限 # 这行必须手动添加Docker Desktop UI不提供然后在PowerShell中执行wsl --shutdown # 重启Docker Desktop注意不要在Docker Desktop UI里调内存滑块那个滑块只影响Docker Engine不影响WSL2内核。真正的内存限制在WSL2配置文件里且必须重启生效。4. AI Agent 不是黑箱模型而是可验证、可审计、可熔断的战术单元热词中“AI Agents”与“penetration testing”并列出现但Pentagi架构中的AI Agent绝非调用OpenAI API那么简单。它是嵌入在攻击链中的战术单元Tactical Unit必须满足三个硬性指标可验证Verification、可审计Auditability、可熔断Circuit Breaking。否则它不是助手而是定时炸弹。为什么不能直接用ChatGPT做渗透决策因为大模型输出不可验证它说“CVE-2023-27997可利用Apache Tomcat 10.1.12”你无法在5秒内确认该版本是否存在PoC、是否需特定JVM参数、是否触发WAF规则。而Pentagi Agent的设计哲学是所有AI决策必须附带可执行的验证步骤并将验证结果写入Neo4j图谱。一个标准Pentagi Agent的生命周期接收指令从消息队列如Redis Stream获取任务例如{target: 10.10.20.5, task: find_exploit_path}图谱查询向Neo4j发起Cypher查询获取目标资产的已知信息开放端口、运行服务、历史漏洞AI推理调用本地LLM如Phi-3或Qwen2生成候选攻击路径但输出格式严格限定为JSON Schema{ path_id: path-7a3f, steps: [ { step_id: step-1, tool: nmap, args: [-p 80,443,8080, 10.10.20.5], expected_output: 80/tcp open http Apache httpd 2.4.57 }, { step_id: step-2, tool: curl, args: [-I http://10.10.20.5/server-status], expected_output: 200 OK } ], verification: { method: regex_match, pattern: Apache.*2\\.4\\.57, source: step-1.output } }执行与验证Agent按steps顺序执行命令每步输出存入Redis用verification.pattern匹配实际输出图谱更新验证成功则写入Neo4j关系(:Asset)-[:HAS_SERVICE]-(:Service)失败则标记confidence_score: 0.3并触发熔断。这种设计带来三个关键收益可验证每步AI建议都对应可执行命令结果可被独立验证杜绝“幻觉攻击”可审计所有step_id、tool、args、output存入Neo4j回溯时能精确到哪一步出错可熔断当verification失败率连续3次80%Agent自动降级为人工模式并向管理员发送告警。我曾用开源LLMPhi-3-mini训练一个“Web路径探测Agent”输入是目标域名输出是curl命令序列。训练数据不是通用语料而是从Burp Suite Pro导出的10万条真实HTTP请求/响应对每条标注is_path_leak: true/false。这样训练出的模型对/backup.zip、/.git/config等敏感路径的识别准确率达92%远超通用大模型。关键是它输出的永远是curl -I https://target.com/backup.zip而不是“建议检查备份文件”。Agent间的协作不是靠“聊天”而是靠图谱状态变更触发。例如agent-scanner发现10.10.20.5:22开放写入Neo4j(:Asset)-[:RUNS_ON]-(:Service {name:ssh})agent-bruteforcer监听Neo4j中RUNS_ON关系创建事件自动启动Hydra爆破agent-postexploit监听(:Credential)-[:AUTHENTICATES_TO]-(:Service)关系创建立即尝试提权。这种基于图事件的协作比消息队列更可靠——即使agent-bruteforcer容器崩溃只要Neo4j里有RUNS_ON关系新启动的实例会立刻补上任务。这就是Pentagi的韧性来源图谱是唯一真相源Single Source of TruthAgent只是它的执行器。实操心得不要用Docker Hub上的现成LLM镜像。我试过ollama/phi3但其CUDA版本与宿主机NVIDIA驱动不兼容导致GPU加速失效。正确做法是在宿主机安装NVIDIA Container Toolkit用nvidia/cuda:12.2.0-devel-ubuntu22.04基础镜像编译适配的vLLM支持PagedAttention模型权重用huggingface-cli download拉取避免镜像过大。这样构建的Agent推理速度提升3倍且GPU显存占用稳定。5. 从零搭建你的第一个 Pentagi 实验环境避坑清单与逐行验证现在让我们把前面所有理论落地为一个可在本地运行的Pentagi最小实验环境。这不是Demo而是生产级架构的精简副本所有步骤均经我在Ubuntu 22.04、Windows 11 WSL2、macOS Sonoma三平台实测。重点不是“能跑”而是“跑得稳、看得清、改得动”。5.1 环境准备四步锁定基础层Step 1验证Docker与WSL2Windows用户必做# Ubuntu/macOS 直接运行 docker --version # 必须 ≥ 24.0.0 docker run hello-world # 确认Docker Daemon正常 # Windows用户额外检查 wsl -l -v # 确认WSL2发行版状态 wsl --status # 查看内核版本必须 ≥ 5.10.102.1 # 若版本过低执行 wsl --updateStep 2创建专用网络与目录# 创建隔离网络避免端口冲突 docker network create pentagi-net # 创建项目目录结构 mkdir -p pentagi/{neo4j/data,neo4j/plugins,agents/{exploiter,analyzer},llm-proxy} cd pentagiStep 3下载Neo4j Enterprise社区版无法支撑Agent并发访问 Neo4j Download Center 选择Neo4j Graph Database Enterprise Edition下载.tar.gz包。解压后# 复制license.key到neo4j/plugins目录免费试用30天 cp /path/to/license.key neo4j/plugins/ # 修改neo4j/conf/neo4j.conf确保 # dbms.security.auth_enabledfalse # dbms.connectors.default_listen_address0.0.0.0 # dbms.connectors.default_advertised_addressneo4jStep 4准备Agent基础镜像创建agents/exploiter/DockerfileFROM ubuntu:22.04 RUN apt-get update apt-get install -y \ nmap \ curl \ python3 \ python3-pip \ rm -rf /var/lib/apt/lists/* COPY requirements.txt . RUN pip3 install -r requirements.txt COPY entrypoint.sh /entrypoint.sh RUN chmod x /entrypoint.sh ENTRYPOINT [/entrypoint.sh]requirements.txt内容neo4j5.16.0 redis4.6.0entrypoint.sh内容含健康检查#!/bin/sh # 等待Neo4j就绪 until nc -z neo4j 7687; do echo Waiting for Neo4j... sleep 2 done # 启动Agent主程序 exec python3 /app/agent.py $5.2 启动核心服务三容器协同验证创建docker-compose.yml完整版version: 3.8 services: neo4j: image: neo4j:5.16.0-enterprise container_name: pentagi-neo4j environment: - NEO4J_AUTHnone - NEO4J_dbms_connectors_default__listen__address0.0.0.0 - NEO4J_dbms_connectors_default__advertised__addressneo4j - NEO4J_dbms_security_auth__enabledfalse - NEO4JLABS_PLUGINS[graph-data-science] volumes: - ./neo4j/data:/data - ./neo4j/plugins:/plugins - ./neo4j/conf:/conf ports: - 7474:7474 - 7687:7687 networks: - pentagi-net restart: unless-stopped redis: image: redis:7.2-alpine container_name: pentagi-redis ports: - 6379:6379 networks: - pentagi-net restart: unless-stopped agent-exploiter: build: ./agents/exploiter container_name: pentagi-agent-exploiter environment: - NEO4J_URIbolt://neo4j:7687 - REDIS_URLredis://redis:6379 - AGENT_IDexploiter-01 depends_on: - neo4j - redis networks: - pentagi-net privileged: true cap_add: - NET_ADMIN - SYS_PTRACE restart: unless-stopped启动命令docker compose up -d # 等待30秒 docker compose logs -f neo4j | grep Started. # 看到Started.即Neo4j就绪 docker compose logs -f agent-exploiter | grep Agent ready # 看到Agent就绪5.3 首次图谱注入用Cypher建立你的第一张攻击地图打开浏览器访问http://localhost:7474输入以下Cypher创建初始资产// 创建靶机节点 CREATE (a:Asset {ip: 10.10.20.5, os: Ubuntu 22.04, last_seen: timestamp()}) CREATE (s:Service {name: ssh, port: 22, version: OpenSSH 8.9p1, last_seen: timestamp()}) CREATE (c:Credential {type: password, value: admin123, confidence_score: 0.95, last_seen: timestamp()}) // 建立关系 CREATE (a)-[:RUNS_ON]-(s) CREATE (c)-[:AUTHENTICATES_TO]-(s) // 查询验证 MATCH (a:Asset)-[r:RUNS_ON]-(s:Service)-[r2:AUTHENTICATES_TO]-(c:Credential) WHERE a.ip 10.10.20.5 RETURN a, s, c, r, r2点击“Play”按钮你应该看到三个节点和两条关系。这是Pentagi的“DNA”——所有后续AI决策都将从此图谱生长。5.4 Agent实战触发一次自动化的SSH爆破在agents/exploiter/agent.py中写入最小逻辑from neo4j import GraphDatabase import redis import subprocess import json # 连接Neo4j driver GraphDatabase.driver(bolt://neo4j:7687) # 连接Redis r redis.Redis(hostredis, port6379, decode_responsesTrue) def get_ssh_targets(): with driver.session() as session: result session.run( MATCH (a:Asset)-[:RUNS_ON]-(s:Service {name: ssh}) -[:AUTHENTICATES_TO]-(c:Credential) WHERE c.confidence_score 0.8 RETURN a.ip AS ip, c.value AS password ) return [{ip: record[ip], password: record[password]} for record in result] if __name__ __main__: targets get_ssh_targets() for t in targets: # 执行hydra爆破需提前安装hydra cmd fhydra -l admin -p {t[password]} ssh://{t[ip]} try: output subprocess.check_output(cmd, shellTrue, stderrsubprocess.STDOUT, timeout30) print(f[SUCCESS] {t[ip]} cracked!) # 写入Neo4j成功关系 with driver.session() as session: session.run( MATCH (a:Asset {ip: $ip}), (c:Credential {value: $pwd}) CREATE (c)-[:CRACKED]-(a) , ipt[ip], pwdt[password]) except Exception as e: print(f[FAIL] {t[ip]}: {e})构建并启动docker compose build agent-exploiter docker compose up -d agent-exploiter查看日志docker compose logs -f agent-exploiter你会看到[SUCCESS] 10.10.20.5 cracked!然后在Neo4j Browser中执行MATCH (c:Credential)-[:CRACKED]-(a:Asset) RETURN c, a应看到新关系。至此你的Pentagi环境已具备图谱驱动、Agent执行、结果反馈的闭环能力。最后提醒这个环境不是玩具。它能真实爆破SSH也能真实触发WAF告警。请务必在离线靶场如TryHackMe、HTB的专属实验室中测试永远不要在未经许可的网络中运行。Pentagi的力量取决于使用者的伦理边界——技术无善恶但选择有重量。