GitHub开源AI渗透测试工具PentestCode：13个Agent共享战况，自己却踩过两个高危漏洞

GitHub 开源 AI 渗透测试工具 PentestCode（s0ld13rr/pentestcode，MIT 协议）硬分叉自 OpenCode，由主控加 13 个专职子 Agent 共享一份落盘的结构化作战状态来推进渗透流程，最新版 v0.2.7 于 10 月 23 日发布。工具内置 18 个工具并强制扫描输出走 parser，提供 auto、free、guided 三种模式，默认工具权限为全放，free 模式明写绕过范围检查。10 月 20 日有用户在仓库提交两个漏洞 issue：CVSS 8.8 的任意文件写入可借目标返回内容诱导 Agent 改写操作员本机的 authorized_keys，CVSS 7.5 的命令注入可经凭证值或主机名在操作员本机执行命令。作者建议在一次性虚拟机中运行、升级到 0.2.7 或更新，不要用 free 模式对真实目标。