7月4日，开源AI渗透测试工具Strix冲上GitHub Trending榜首，单日涨星2800+，总星数突破3.4万。Strix用多AI Agent协作架构，在沙箱容器里跑真实漏洞验证——不只是扫出可疑代码，而是实际执行攻击链、生成可复现的PoC（概念验证，证明漏洞真实存在的攻击代码）。

它覆盖IDOR（越权访问）、SQL/NoSQL注入、SSRF（服务端请求伪造）、XSS（跨站脚本）、业务逻辑漏洞等主流风险。每个漏洞先由侦察Agent分析代码和API，再由利用Agent编写并执行攻击脚本，修复方案同步生成。工具可接入GitHub Actions在CI管道做门禁，底层支持GPT-5.4、Claude Sonnet 4.6、Gemini 3 Pro Preview及Ollama本地模型。

团子解读:安全测试正在经历功能测试两年前走过的路——从人手查检到Agent自主跑。Strix跟传统扫描器的本质区别不是用了大模型，而是把"发现→验证→修复"串成了一条自动化流水线。对测试团队来说，安全测试可以从"专项活动"变成"每次提交都跑"。但一次完整扫描可能跑几十次LLM推理，API成本不低，建议先在关键服务试点。

TesterHome有一篇《看懂AI测试工具的四种类型》的文章，按"测试怎么创建、怎么执行"把市面上的AI测试工具分成四类。

第一类Agentic自动化测试：根据自然语言生成并维护端到端测试套件，输出Playwright/Appium代码在CI中确定性执行。第二类Agentic手工测试：用Computer-Use Agent像真人一样操作界面执行测试。第三类IDE Copilot：在编辑器内辅助写测试代码，团队自己负责执行和CI集成。第四类会话录制：捕获浏览器会话并回放，用于调试和回归检测。

文章指出了一个被忽略的事实：大多数AI测试工具底层用的是同一批大模型，真正拉开差距的不是"接没接入大模型"，而是怎么把AI嵌入测试的创建、执行、维护和验证环节。

团子解读:这个分类法的价值不在"分得对不对"，而在给了测试团队一个选型决策框架。选工具前先回答两个问题：你需要确定性代码，还是运行时自适应行为？谁负责执行和维护？答案不同，对应类型完全不同。FunTester的最终建议很实在：Agentic自动化测试适合做底层方案，IDE Copilot适合加速编写，会话录制适合复现Bug。别被AI标签带偏——先想清楚场景再选工具。

7月4日，独立评测机构Artificial Analysis发布AA-AgentPerf——业界首个专为AI Agent推理设计的硬件基准。它不测"每秒吐多少token"，而是测"一兆瓦电力能撑起多少个并发Agent"。英伟达最新GB300 NVL72在一兆瓦下撑起61,400个并发Agent，是上一代H200约20倍。

这个基准的独特之处在于回放真实编程Agent的完整轨迹——覆盖12+种编程语言、最长200轮对话、上下文突破10万token。传统基准测的是"单次问答速度"，AgentPerf测的是"一个Agent从接任务到交付的端到端效率"，包含工具调用间隙、KV缓存复用、调度器压力等生产环境变量。

团子解读:这个基准对测试人的意义被低估了。当CI管道里跑着几十个AI测试Agent——生成用例、执行回归、分析失败原因——Agent推理的基础设施效率直接决定测试反馈速度。评测行业本身也在进化：从测模型"聪不聪明"到测Agent"能不能投产"。测试团队在选AI测试工具时，应该多问一句：Agent推理跑在什么硬件上？并发能撑多少？

你们团队现在用AI测试工具了吗？是哪个类型的？踩过什么坑？有感兴趣的评论区告诉我，呼声高的我们后期安排深扒。