AI 安全 Agent、Memfit 记忆、RAG 与智能化能力
查看所有标签
Yak Projectai.FunctionCall 与 ai.imageBase64 提取验证码，再分别接入基础脚本、并发任务和 Web Fuzzer 热加载流程。不需要。文中的方案通过已配置的 Yakit AI 网关调用多模态模型，并让模型按指定字段返回验证码文本。
不可以。验证码识别和登录测试只能用于自有系统、靶场或已经获得明确授权的目标。
打开一个后台管理系统，一般来说可能仅仅是一个登录框。用户名、密码、验证码——三个输入框，一个提交按钮。密码可以爆破，用户名可以枚举，但验证码这个东西，一直是渗透测试中一个绕不开的拦路虎。
Yak Project不需要。按照文中的流程，插件作者开启“开放给 AI 使用”并补充准确的插件描述，即可进入统一能力目录。
能力会先经过意图路由和目录 Grounding，再逐层收敛候选范围；执行阶段仍由统一调度链路管理和验证。
过去如果想拓展 AI 的安全能力，通常有两种思路：
Yak Project不会。文中的流程把项目探索、扫描计划、分类审计、证据记录和报告生成拆成独立阶段，要求结论能够回到具体证据。
不可以。PoC 用于授权范围内的风险复现和验证，应在隔离环境中审阅输入、影响和执行边界。
随着 Memfit AI 新功能的扩展和相关机制的完善，我们已经可以将现有的 AI 功能扩展到我们的其他产品中，本文主要介绍目前我们在 IRify 工具的 AI 化扩展中做出的新尝试。
Yak Project在上一篇文章中Memfit AI 专业记忆:Agent 动手之前,先翻了一遍你的知识库, 我们解决了 Agent 的“见识”问题。通过内置的知识库系统,Agent在执行攻击前,能够像资深专家一样先翻阅企业的私有测试和规范文件,确保自己的行动不脱离合规基线。
Yak Project我们在上一篇文章：Memfit AI: 连续渗透测试N小时不迷路的生产级AI Agent 中聊了 Memfit AI 如何像一个真人渗透测试工程师一样自主工作——规划任务、执行攻击、动态调整策略。跑了两个多小时，产出了 18 个漏洞发现和一份完整的渗透测试报告。
Yak Project听起来是不是非常玄学？
Yak ProjectAI Agent 这两年正以不可思议的速度发展着。这种由大语言模型（LLM）驱动的自然交互模式，正在重塑静态应用安全测试（SAST）领域。基于 AI Agent 的自动化代码审计方案，已逐渐成为当前安全工程实践的重点探索方向。
在现有的 AI Agent 代码审计框架中，系统获取代码上下文的主要检索手段通常依赖 grep （纯文本正则检索）、tree-sitter （抽象语法树/AST 解析）以及 LSP （语言服务器协议）等工具。这些技术在处理基础的符号定位和局部代码提取时具有绝对效率优势：grep 负责极速的关键词定位，tree-sitter 负责精准的语法结构识别，而 LSP 则提供了“转到定义”或“查找引用”等基础语义导航能力。
然而，面对深度的安全审计需求时，这套组合拳显现出了结构性的局限。grep 仅能进行字面量匹配，无法解析逻辑依赖；基于 AST 的解析虽能识别静态特征，却难以跨越函数与物理文件边界；LSP 虽具备一定的语义关联能力，但本质上仍是“点对点”的静态跳转，它无法刻画变量在复杂控制流和赋值逻辑中的“生命周期”，也难以追踪数据在经过集合封装、对象透传或跨过程调用后的真实流转。
Yak Project这是 AI Agent 相关能力第一次正式应用到 Yakit 的日常功能模块中。本次以 HTTP 历史流量分析 作为试点，在不改变用户原有使用习惯的前提下，引入一个“懂流量、能对话”的分析专家，用来辅助用户理解和分析已有流量数据。
本文主要介绍这个功能做了什么、怎么用，以及背后的一些实现思路。
Yak Project在 AI 工具搜索、意图识别、记忆管理、知识扩展等场景中，核心需求往往是对大量模糊文本的语义进行高效检索。
传统的关键词匹配难以满足需求，因此需要通过向量化表示（embedding）与 向量数据库 来实现语义级别的近似搜索（Approximate Nearest Neighbor, ANN）。
Yak Project大型模型的 AI 知识能力现今基本可以被认为“溢出”了，他的编码能力，知识都很强，但是上下文限制或者无法和用户偏好对其导致效果无法如人意，因此留给我们这种普通研发者的重要工作就是教会 AI 做事儿。