Strix AI-pentester: installeren en veilig gebruiken (v1.7)

Een penetratietest is een geautoriseerde aanval op je eigen systeem om zwakke plekken te vinden voordat een ander dat doet. Strix doet dat met een groep AI-agents?AgentEen AI-systeem dat zelfstandig meerdere stappen uitvoert om een taak af te ronden: bestanden openen, zoeken, code draaien, resultaten controleren.Hele uitleg: AgentSluiten: je wijst een doel aan en de agents zoeken zelf naar kwetsbaarheden en proberen ze te bewijzen. Het project staat sinds augustus 2025 op GitHub, heeft inmiddels zo’n 73.700 sterren en zit op versie 1.7.0 van 5 oktober 2026 (Bron: GitHub). Dit stuk laat zien hoe je het installeert en vooral hoe je het verantwoord inzet.

Update 4 november 2026 Bij de lancering op 28 mei 2026 ging het om v0.6 en ongeveer 24.600 sterren. Sindsdien is er een nieuwe hoofdversie en installeer je Strix met een installer of pipx in plaats van via git clone en docker compose. Ook kwamen er een budgetlimiet en een foutdrempel voor je pijplijn bij. De kostenschattingen uit het origineel heb ik geschrapt, omdat geen enkele bron ze bevestigt.

Mag je Strix zomaar op een website loslaten?

Nee. De README van Strix zegt letterlijk dat je alleen systemen test die van jou zijn of waarvoor je uitdrukkelijk schriftelijke toestemming hebt. Ook moet je binnen de afgesproken scope blijven. Dat is geen juridische formaliteit. Het Openbaar Ministerie beschrijft computervredebreuk (artikel 138ab Wetboek van Strafrecht) als het wederrechtelijk binnendringen van een geautomatiseerd werk (Bron: OM). Een agent die echte exploitpogingen doet, doet precies dat.

Wat dit in de praktijk betekent:

• Test op een staging-omgeving of een kopie, niet op productie. Een agent kan data schrijven, accounts aanmaken en alarmen laten afgaan.
• Heb je een lokale map als doel, bedenk dan dat Strix die map beschrijfbaar mount. Richt hem op een aparte branch of een kopie van je project.
• Staat de omgeving bij een hostingpartij of in de cloud, vraag dan ook hun toestemming. Sommige aanbieders hebben eigen regels voor beveiligingstests.
• Leg scope, tijdvenster en contactpersoon vast voordat je begint. Draai je dit voor een klant, laat dat dan ondertekenen.

Wat doet Strix en wat is er sinds de lancering bijgekomen?

Strix draait in een afgeschermde Docker-sandbox?SandboxEen afgeschermde speelruimte waarin je AI kunt testen zonder dat het schade aanricht in je echte systemen of gegevens.Hele uitleg: SandboxSluiten. Daarin zitten een HTTP-proxy op basis van Caido, een geautomatiseerde browser, een shell, een Python-omgeving voor proof-of-concepts en hulpmiddelen voor verkenning (Bron: README). Meerdere agents verdelen het werk en delen wat ze vinden. Je kunt zowel broncode testen (white-box) als een draaiende applicatie (black-box).

De releases sinds mei laten zien waar het project naartoe beweegt (Bron: releases):

• v1.5.0 (7 augustus): nieuwe terminalinterface, lokale doelen worden gemount in plaats van gekopieerd en API-specificaties of Postman-collecties werken als doel.
• v1.6.0 (1 september): ondersteuning voor MCP-servers, een strix cloud-opdracht voor het beheerde platform en dekking voor de OWASP LLM Top 10 2026.
• v1.7.0 (5 oktober): de optie --fail-on voor headless runs, een budgetbeleid dat agents laat wachten bij de kostenlimiet en HTTP-bewijs dat aan rapporten wordt gekoppeld.

Dat laatste helpt bij het nalopen van bevindingen. Een AI-pentester geeft geen garantie dat elke melding klopt, dus je blijft zelf beoordelen wat echt een kwetsbaarheid is.

Hoe installeer je Strix?

Je hebt twee dingen nodig: een draaiende Docker en een API-sleutel van een taalmodel (Bron: Quickstart). Installeren kan op twee manieren. De eerste is de installer van de makers:

curl -sSL https://strix.ai/install | bash

De tweede is pipx, met Python 3.12 of nieuwer:

pipx install strix-agent

Een script rechtstreeks in je shell pipen is niet ieders voorkeur. Download https://strix.ai/install dan eerst en lees het door. Of kies pipx. De PyPI-pagina toont versie 1.7.0 en Python 3.12 als ondergrens (Bron: PyPI).

Daarna stel je het model in met twee omgevingsvariabelen. Het voorbeeld in de documentatie gebruikt Z.ai GLM-5.3 via OpenRouter:

export STRIX_LLM="openrouter/z-ai/glm-5.3"
export LLM_API_KEY="jouw-api-sleutel"

Je instellingen komen in ~/.strix/cli-config.json te staan, dus je hoeft ze niet elke keer opnieuw in te voeren. Start daarna je eerste scan op een testproject:

strix --target ./jouw-app

De eerste keer haalt Strix de sandbox-image op. Resultaten komen in de map strix_runs/<run-naam>. Met strix view open je een lokaal dashboard dat op 127.0.0.1 luistert.

Welke scan-modus kies je en hoe houd je de kosten in de hand?

Er zijn drie modi. De standaard is de zwaarste (Bron: scan-modi):

Modus	Duur volgens de docs	Bedoeld voor
quick	minuten	pull requests en snelle controles
standard	30 minuten tot 1 uur	regelmatige beveiligingsrondes
deep (standaard)	1 tot 4 uur	grondige audits van kritieke applicaties

Een run die uren duurt, verbruikt veel tokens?TokenHet stukje tekst waarin een model rekent, ruwweg drie kwart woord in het Nederlands. AI-diensten rekenen er vaak in af: je betaalt per miljoen tokens in- en uitvoer.Hele uitleg: TokenSluiten. De documentatie geeft geen prijzen, dus meet het zelf met een kleine scan. Twee opties houden het in toom (Bron: CLI-opties):

strix --target https://staging.jouwbedrijf.nl --scan-mode standard --max-budget 25 --max-turns 300

--max-budget is een plafond in dollars voor alle agents samen. Het zijn schattingen, dus reken er een marge bij. --max-turns begrenst het aantal stappen per agent (standaard 500). De documentatie noemt geen standaardbudget, dus stel er zelf een in, zeker bij een eerste proefrun.

Waar gaat je data heen?

Strix zelf draait lokaal, maar de agents sturen hun redenering en wat ze tegenkomen naar het LLM?LLM (groot taalmodel)Large Language Model: het type AI-model achter ChatGPT, Claude en Gemini.Hele uitleg: LLM (groot taalmodel)Sluiten dat je instelt. Dat kan een gehoste dienst zijn of een lokaal model via LLM_API_BASE (de README noemt Ollama en LM Studio). Een kwetsbaarheidsrapport over je eigen systeem is gevoelige informatie, dus kies de aanbieder daarop.

Houd er rekening mee dat sommige aanbieders cybertoepassingen apart afschermen. De README meldt dat Anthropics Claude Opus 5.5 toegang via het Cyber Verification Program vraagt en dat OpenAI’s GPT-6.1 Sol Daybreak-toegang vereist. Waarom aanbieders die drempel inbouwen, lees je in GPT-6 Astra vindt zelf zero-days.

Daarnaast verzamelt Strix standaard anonieme gebruiksdata via PostHog en Scarf: onder meer besturingssysteem, versie, scan-modus, gekozen model en aantallen bevindingen per ernst. Doelen, bestandspaden, bevindingen en prompts horen daar volgens het project niet bij. Uitzetten doe je met STRIX_TELEMETRY=0 (Bron: telemetriebeleid).

Hoe gebruik je Strix in je CI-pijplijn?

Voor pull requests is de quick-modus bedoeld. In headless modus (-n) draait Strix zonder interface en geeft hij een exitcode terug: 0 voor geen bevindingen, 1 voor een fatale fout en 2 voor bevindingen. Met --fail-on high telt alleen een bevinding van hoog of kritiek niveau mee. In een pull request kijkt de quick-scan volgens de docs alleen naar de gewijzigde bestanden. Een ingekorte versie van het voorbeeld uit de documentatie:

name: strix-quick-scan
on: pull_request

jobs:
  scan:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
        with:
          fetch-depth: 0
      - run: curl -sSL https://strix.ai/install | bash
      - run: strix -n -t ./ --scan-mode quick --fail-on high
        env:
          STRIX_LLM: ${{ secrets.STRIX_LLM }}
          LLM_API_KEY: ${{ secrets.LLM_API_KEY }}

Scan in CI de code en niet je live site. Zet de API-sleutel in de secrets van je repository en stel een --max-budget in, zodat een drukke week met pull requests je rekening niet verrast.

Wat Strix niet vervangt

Voor een pentest waarvan je een handtekening of certificaat nodig hebt (bijvoorbeeld voor een klantaudit) blijft een erkende tester nodig. Strix is ook geen vervanger van Burp Suite of OWASP ZAP. Die gebruik je interactief om één flow tot op de bodem uit te zoeken, terwijl Strix zelfstandig breed zoekt. Je kunt ze prima naast elkaar gebruiken.

Er is nog een risico dat in de docs niet staat en dat ik daarom als eigen advies geef. Een agent die ongecontroleerde webpagina’s leest, kan tekst tegenkomen die hem probeert te sturen (prompt-injectie?Prompt-injectieEen aanval waarbij iemand een verborgen opdracht in tekst verstopt, bijvoorbeeld in een webpagina of document, die een AI-model uitvoert alsof jij het vroeg.Hele uitleg: Prompt-injectieSluiten). De Docker-sandbox beperkt de schade, maar mount geen mappen met sleutels of klantdata en geef de agent geen inloggegevens van meer dan één testaccount. Hoe zulke aanvallen op agents werken, staat in OWASP’s top 10 voor agent-skills. Wil je het bredere beeld van AI en beveiliging, lees dan 754 cybersecurity-skills voor AI-agents. Voor ondernemers is er een praktische samenvatting van de waarschuwing van AIVD en NCTV op AIPlatformMKB.