usestrix/strix
Strix solta um time de agentes de IA para atacar o seu próprio sistema como um invasor faria, e só reporta a falha depois de ter conseguido explorá-la de verdade. Está viralizando porque virou o jeito mais barato de ter alguém testando a porta do seu produto todo dia: saltou de cerca de 33 mil para mais de 46 mil estrelas em um mês, empurrado pelo topo do GitHub Trending e pela onda de código escrito por IA que ninguém revisou.
O que é, em uma frase honesta
Strix é uma ferramenta de teste de invasão (pentest) que, em vez de ler o seu código, ataca a sua aplicação rodando. Ele sobe um contêiner isolado com o arsenal de um hacker profissional dentro: um proxy que intercepta o tráfego, um navegador de verdade para testar a tela, um terminal e um espaço para escrever código de ataque na hora. Por cima disso roda o que os autores chamam de grafo de agentes: um agente faz reconhecimento, outro tenta explorar, outro tenta se aprofundar depois de entrar, e eles trocam o que descobriram entre si.
A regra da casa é a parte séria: ele não anuncia vulnerabilidade que não conseguiu explorar. Cada achado vem com uma prova reproduzível de que o buraco existe.
Para que serve na prática
Três usos concretos. Primeiro, teste de segurança contínuo: você aponta o Strix para uma URL ou para o diretório do código e ele passa a noite tentando quebrar coisa. A cobertura mira o cardápio clássico de falhas de aplicação web: permissão mal feita (usuário comum acessando o que é do administrador), injeções de banco e de comando, falhas de servidor, ataques que rodam no navegador do cliente, burla de regra de negócio e configuração errada de nuvem.
Segundo, portão no processo de entrega: existe integração com GitHub Actions para barrar a subida quando algo grave aparece, e ele consegue abrir um pull request com a correção sugerida. Terceiro, relatório: há um painel local para navegar nos resultados sem mandar nada para a nuvem, e a versão comercial gera relatórios de conformidade.
Quando faz sentido pra você que lidera
Faz sentido quando o custo de um pentest tradicional é o que trava a frequência do teste: contrata-se uma empresa uma ou duas vezes por ano, e no resto do tempo se vive de fé. Strix não substitui o pentest humano de fechamento nem o laudo com carimbo, mas muda a frequência de anual para diária pelo custo dos tokens do modelo. Duas ressalvas de dono.
A primeira é jurídica e não é detalhe: só se aponta essa ferramenta para o que é seu ou para o que você tem autorização escrita para testar. A segunda é operacional: são agentes autônomos com terminal e capacidade de escrever código, então isolamento e ambiente de homologação não são zelo excessivo, são o mínimo. E alguém precisa ler o achado e decidir o que fazer.
Por que está no mapa
O repositório nasceu em agosto de 2025 e passou quase um ano discreto. Estourou no dia 3 de julho de 2026, quando chegou ao primeiro lugar do GitHub Trending com mais de dois mil favoritos em 24 horas, e desde então acumulou algo perto de 17 mil no mês. O combustível é a proporção de código escrito por IA que entra em produção sem revisão humana proporcional.
O projeto está vivo de verdade: dezenas de commits por semana e a versão 1.4.1 publicada no fim de julho de 2026. O acervo já tem o openai/codex-security, que lê o código parado procurando falha. Strix faz o papel oposto e complementar: ataca o sistema em pé, do lado de fora, e prova a falha explorando.
Valeu pelo feedback. Isso ajuda a afiar a biblioteca.