Uygulamana gerçek hacker gibi saldıran açık kaynak ajan. Varsayılanla çalıştırırsan tarama dört saat sürebiliyor ve klasöründeki gerçek dosyalara yazabiliyor

Strix bir güvenlik tarayıcısı değil, otonom bir pentest ajanı. Uygulamanı Docker içinde ayağa kaldırıyor, gerçek saldırılar deniyor ve bulduğu her açığı çalışan bir kanıtla doğruluyor. Apache 2.0 lisanslı, Python ile yazılmış. 21 Eylül 2026 itibarıyla 63.900 yıldız ve 6.900 fork almış, son yayınlanan sürüm 5 Eylül 2026 tarihli 1.6.2. Depo çok hareketli: bu yazının yazıldığı gün de güncellenmişti.

Aşağıda fazladan olan şey şu: klasik tarayıcıdan farkının tam olarak nerede durduğu, ücretsiz kelimesinin nereye kadar geçerli olduğu, Windows'ta çalışan ve dokümanda yazmayan kurulum yolu, ilk taramayı bütçe ve süre patlatmadan başlatan komut, Claude Code'dan kullanma yolu ve aracın kendi yasal uyarısı.

Saldırıyı tek bir model yapmıyor. Keşif, sömürü ve sonrası için ayrı ajanlar çalışıyor, birbirlerine buldukları bilgiyi geçiriyorlar. Ellerindeki takım da gerçek pentest takımı: istekleri kesip değiştirebilen bir proxy, XSS ve oturum testleri için gerçek bir tarayıcı, komut çalıştırabilecekleri bir kabuk ve kanıt kodunu yazıp deneyebilecekleri bir Python kutusu.

Tarama bittiğinde sonuçlar diske yazılıyor. strix_runs klasörünün altında, taramanın adını taşıyan bir dizin açılıyor; içinde okunabilir bir pentest raporu, her açık için ayrı bir dosya, makine tarafında işlenebilen bir JSON ve GitHub'ın güvenlik sekmesine yüklenebilen SARIF çıktısı oluyor.

Aracın kendisi gerçekten bedava ve açık kaynak, hesap bile istemiyor. Ama saldıran şey bir dil modeli ve modelin parasını sen ödüyorsun. Strix seninkini kullanıyor: anahtarı sen veriyorsun, fatura sana geliyor. Rakam vermiyorum çünkü seçtiğin modele, hedefin büyüklüğüne ve seçtiğin moda göre uçtan uca değişiyor. Onun yerine sınırı sen koy.

Bir de API faturası hiç açmadan çalıştırma yolu var, dokümanda değil sadece repodaki README'de yazıyor. ChatGPT Plus ya da Pro aboneliğin varsa Strix'i o aboneliğin üstünden çalıştırabiliyorsun. Bu üç komutu yayınlanmış sürümde denedim, çalışıyor.

strix auth login chatgpt
$env:STRIX_LLM = "chatgpt/gpt-5.4"
strix auth status

Ortadaki satır PowerShell içindir. macOS ve Linux tarafında aynı satır export STRIX_LLM=chatgpt/gpt-5.4 olur.

Strix saldırıyı doğrudan senin bilgisayarında değil, bir Docker kutusunun içinde yapıyor. Yani Docker kurulu ve açık olmak zorunda, Windows'ta bu Docker Desktop demek. İlk taramada kutunun imajını kendisi indiriyor; indirme yaklaşık 1,3 GB, disk üstünde daha fazla yer kaplıyor. Sınırlı bir bağlantıdaysan bunu bilerek başla.

macOS ve Linux'ta resmî kurulum tek satır. Bu komut bir binary indirip ev dizinindeki .strix klasörüne koyuyor ve kabuk dosyana PATH satırı ekliyor.

curl -sSL https://strix.ai/install | bash

# Docker Desktop açık olmalı
$zip = "$env:TEMP\strix.zip"
$bin = "$HOME\.strix\bin"

Invoke-WebRequest "https://github.com/usestrix/strix/releases/download/v1.6.2/strix-1.6.2-windows-x86_64.zip" -OutFile $zip
New-Item -ItemType Directory -Force -Path $bin | Out-Null
Expand-Archive -Path $zip -DestinationPath $bin -Force
Move-Item "$bin\strix-1.6.2-windows-x86_64.exe" "$bin\strix.exe" -Force

# PATH'e kalıcı ekle, sonra terminali kapatıp aç
$user = [Environment]::GetEnvironmentVariable("Path", "User")
[Environment]::SetEnvironmentVariable("Path", "$user;$bin", "User")

PATH satırını neden böyle yazdım: env:Path değişkenini okuyup geri kaydedersen sistem genelindeki girdileri de kendi kullanıcı ayarına kopyalamış olursun ve PATH'in zamanla şişer. Yukarıdaki biçim sadece senin kullanıcı PATH'ini okuyup sonuna ekliyor. Sürüm numarası komutun içinde geçtiği için, ileride yeni sürüm çıktığında 1.6.2 yazan yerleri güncellemen gerekir.

Üçüncü bir yol daha var: Python 3.12 ya da üstü kuruluysa paketi pipx ile kurabilirsin. Tek uyarı, sonradan yukarıdaki curl komutunu çalıştırırsan o kurulum betiği pipx sürümünü kaldırıp yerine binary koyuyor. İkisini aynı anda tutmaya çalışma.

pipx install strix-agent

Kurulum bittikten sonra modeli tanıtıyorsun. Strix bu ayarı ev dizinindeki .strix klasörüne kaydediyor, yani her taramada tekrar yazman gerekmiyor.

# Windows PowerShell
$env:STRIX_LLM = "openrouter/z-ai/glm-5.3"
$env:LLM_API_KEY = "senin-anahtarin"

# macOS ve Linux
export STRIX_LLM="openrouter/z-ai/glm-5.3"
export LLM_API_KEY="senin-anahtarin"

Üçünü birden karşılayan başlangıç komutu bu. Baştaki bayrak arayüzü kapatıyor, sonuçları terminale basıp çıkıyor.

strix -n -t ./ --scan-mode quick --max-budget 10

Arayüzsüz çalıştırdığında çıkış kodu da bir anlam taşıyor: sıfır temiz demek, bir hata demek, iki ise açık bulundu demek. Bu yüzden Strix'i CI'ya bağlamak kolay, açık bulununca pipeline kırılıyor. Hedef olarak sadece klasör vermek zorunda da değilsin; bir GitHub deposunun adresini, canlı bir siteyi, bir API şemasını ya da bunların birkaçını aynı anda verebiliyorsun.

# bir GitHub deposu
strix -t https://github.com/kullanici/depo --max-budget 10

# canlı bir site, giriş bilgisiyle
strix -t https://uygulamam.com --instruction "Su bilgilerle giris yap: kullanici:parola" --max-budget 10

# kod ve canlı uygulama birlikte
strix -t https://github.com/kullanici/depo -t https://uygulamam.com --max-budget 25

Sonucu tarayıcıda görmek istersen strix view komutu son çalıştırmayı yerel bir panelde açıyor. Panel sadece kendi makinende duruyor ama adresin sonunda bir erişim anahtarı taşıyor, yani o linki paylaşırsan karşı taraf tarama sonuçlarını görür.

Strix'i terminalden elle çalıştırmak zorunda değilsin. Depo dokuz tane hazır skill taşıyor ve bunlar Claude Code, Cursor ya da Codex'e kuruluyor. Kurduktan sonra ajanına pentest çalıştırmasını, çıkan açıkları düzeltmesini ya da CI'ya tarama kurmasını söyleyebiliyorsun; komutları o yazıyor.

npx skills add usestrix/strix

Dokuzunun dördü aracın kendisini sürmek için: pentest çalıştırma, bulguları düzeltme, CI'ya tarama kurma ve bulut sürümünü kullanma. Kalan beşi hedefe göre ayrılmış: canlı web uygulaması, API güvenliği, OWASP Top 10, depo üstünde kod incelemesi ve ürünün tamamını kapsayan geniş inceleme.

Ters yönde de bir kapı var. Strix'in kendisine MCP sunucusu bağlayabiliyorsun; ev dizinindeki .strix klasörüne bir mcp-servers.json koyduğunda o sunucunun araçları tarama sırasında ajanın eline geçiyor.

İki küçük ayar daha var, ikisi de varsayılanda açık geliyor. Birincisi telemetri: Strix kullanım verisi gönderiyor, kapatmak istersen STRIX_TELEMETRY değerini 0 yapman yeterli. İkincisi düşünme seviyesi: derin modda modelin muhakeme eforu en yükseğe ayarlı geliyor ve bu, faturayı belirleyen sessiz çarpanlardan biri.

Son olarak beklentiyi yerine oturtalım. Strix bir güvenlik ekibinin yerini almıyor, sana bir pentest raporu üretiyor ve o rapor sadece baktığı yeri kapsıyor. Temiz çıkması uygulamanın güvenli olduğu anlamına gelmez, bu taramada kanıtlanabilir bir açık bulunamadığı anlamına gelir. Yayına çıkmadan önce bir tur çalıştırmak için yeterince iyi, tek güvenlik önlemin olmak için değil.