Nightcrawler 开源：把本地 AI 渗透测试 Agent 搬上手机

Nightcrawler 近日以 Show HN 项目形式开源，它把本地 AI 推理、渗透任务规划和工具执行放到智能手机上，让手机不再只是远程查看结果的控制器，而是直接承担 Agent 运行任务的计算节点。截至 2026 年 8 月 3 日，项目代码已在 GitHub 公开，定位非常明确：在尽量不依赖远端模型服务的前提下，用一台随身设备运行 AI 渗透测试 Agent。

**Nightcrawler 是一个运行在智能手机上的本地 AI 渗透测试 Agent。**这里的“本地”不是手机发一句话、云端模型完成全部推理，而是尽可能把模型、上下文、任务编排和工具调用留在设备侧；这里的“渗透测试 Agent”也不是聊天机器人，而是能够围绕目标持续执行观察、规划、调用工具、读取结果和调整策略的自动化系统。

真正的新意不是“手机跑模型”，而是手机跑完整闭环

**Nightcrawler 的价值在于把渗透 Agent 的完整行动闭环压缩到移动设备，而不只是做一个手机版聊天界面。**手机运行小模型早已不新鲜，真正困难的是让模型看懂扫描结果、决定下一步、以受控方式调用系统工具，并在有限内存、有限电量和容易被系统杀后台的环境中持续工作。

**Agent 闭环是模型根据环境反馈反复执行“观察—规划—行动—复盘”的过程。**传统脚本的路径通常是预先写死的，例如先探测端口，再识别服务，最后套用固定检查规则；Agent 则会根据中间结果改变路线，例如在发现 Web 服务后转向目录、配置和身份验证检查，在确认目标与假设不符后停止当前分支。

从工程上看，一套可用的移动渗透 Agent 至少要处理四层问题：

1. 模型推理层：在手机能够承受的内存和功耗范围内生成计划、解析输出，并维持足够的上下文。
2. 任务编排层：把自然语言目标拆成步骤，决定何时调用工具、何时重试以及何时终止。
3. 工具执行层：以受限权限启动网络探测、HTTP 检查、文件分析等安全工具，并把输出转换为模型能读懂的结构。
4. 证据与状态层：记录已经验证的事实、失败路径和原始结果，避免模型重复扫描或把猜测写成漏洞结论。

**这四层必须同时存在，Nightcrawler 才能被称为渗透 Agent，而不是给命令行套了一层自然语言外壳。**尤其是证据管理，它决定了系统最后产出的是一份可复核报告，还是一段看起来合理、实际上没有原始依据的模型叙述。

本地运行解决了隐私问题，但没有自动解决安全问题

**本地推理最直接的收益是减少敏感测试数据离开设备的次数。**在纯本地架构下，目标地址、服务指纹、HTTP 响应、可能包含凭据的配置片段以及模型上下文，可以不发送给外部模型服务；与每一步都调用远端模型的方案相比，模型请求层面的外传次数可以从多轮降到 0。

**“模型请求为 0”不等于“网络外传为 0”。**渗透测试本身需要与目标通信，依赖下载、遥测组件、软件更新和第三方工具也可能产生外部连接，因此用户仍需审计 Nightcrawler 及其依赖的网络行为。对于企业红队而言，真正有意义的指标不是宣传中的“local”，而是能否通过抓包、权限清单和可复现构建证明数据边界。

**本地运行还降低了按调用量计费带来的探索压力。**云端 Agent 每一次观察、反思和重试都可能消耗模型额度，而设备侧推理没有逐次调用账单，更适合长时间实验、教学靶场和网络条件不稳定的现场。不过成本并没有消失，它只是变成了设备价格、存储占用、电池损耗、推理等待时间和维护成本。

**手机的热设计功耗决定了 Nightcrawler 很难直接替代工作站。**渗透 Agent 的负载不是一次短问答，而是持续推理与多工具串行运行；手机在几分钟后可能降频，后台进程也可能受到操作系统限制。项目如果要从演示走向实用，后续必须公开首 token 延迟、单轮任务耗时、峰值内存、持续运行温度和电量消耗，而不能只展示“确实跑起来了”。

截至目前，项目没有给出足以横向复核的统一性能基准。没有具体设备、模型精度、量化方式、上下文长度、任务集合和成功率，单个演示视频无法回答“它比笔记本慢多少”或“能完成多少真实任务”，因此现阶段更适合把 Nightcrawler 看作移动端安全 Agent 的开源原型，而不是成熟的自动化红队平台。

与 VulnClaw、Kali 和云端 Agent 相比，它选择了另一条路线

**Nightcrawler 的主要差异不是工具数量，而是部署边界。**VulnClaw 等项目强调完整工作流、模型兼容、Skill 编排和报告能力，传统 Kali 环境强调专业人员手动控制，云端 Agent 强调大模型能力和弹性算力；Nightcrawler 则优先解决“能否在一台随身设备上本地运行”的问题。

| 方案 | 主要运行位置 | 模型推理位置 | 自动规划 | 数据边界 | 已公开能力重点 | 主要代价 | |---|---|---|---|---|---|---| | Nightcrawler | 智能手机 | 设备本地 | 支持 Agent 式循环 | 较易控制在设备侧 | 移动部署、本地执行、便携使用 | 算力、内存、散热与系统权限受限 | | VulnClaw | PC 或服务器 | 取决于所选模型 | 支持 | 取决于模型和部署方式 | 50 个专项 Skill、插件运行时、流量证据与报告链路 | 环境更重，能力边界更复杂 | | 传统 Kali 工具链 | PC、服务器或专用设备 | 通常不需要模型 | 主要依靠人工与脚本 | 可完全离线控制 | 工具成熟、过程透明、专家可精细控制 | 学习成本高，自动编排能力弱 | | 云端渗透 Agent | 云端或本地执行器 | 远端大模型 | 通常支持 | 测试上下文可能离开本地 | 模型能力强、上下文较长、扩展方便 | 网络依赖、数据合规与持续调用成本 |

**VulnClaw 的优势是工作流完整度，而 Nightcrawler 的优势是部署轻量化。**前者已经把信息收集、漏洞发现、验证和报告串成流程，并提供原始流量证据、插件体系和按需加载的 Skill；后者更像是在证明，同类闭环不一定必须依附一台高性能电脑或云服务器。

**传统 Kali 仍然是现阶段更可靠的专业生产工具。**原因不是 AI 没有价值，而是人工操作的权限边界、失败原因和证据来源更清楚。Nightcrawler 可以减少重复操作，也能把手机变成便携检查节点，但在高风险生产环境中，不应让模型绕过人工确认直接执行破坏性动作。

小模型能不能做渗透，关键不只看参数量

**移动端渗透 Agent 的瓶颈往往是工具使用稳定性，而不是模型能否背出漏洞知识。**一个模型即使知道大量安全术语，只要不能稳定生成参数、解析异常输出、区分未发现与未检测、在失败后停止错误重试，它就很难完成长链路任务。

**工具调用成功率是衡量此类 Agent 的核心指标。**理想评测至少应统计任务完成率、无效调用率、重复步骤比例、误报率、平均工具调用次数和人工接管次数。例如，Agent 执行 100 次工具调用，其中 20 次因为参数错误失败，那么即使最后偶然完成任务，系统也不适合部署在资源紧张的手机上。

**上下文压缩能力同样决定移动端 Agent 能走多远。**扫描输出可能有数千行，如果全部塞回模型，上下文会迅速膨胀；如果只保留摘要，又可能丢掉版本号、响应头和错误信息。更合理的方案是把原始证据落盘，只向模型提供结构化索引，并允许它在需要时读取局部内容。

**模型幻觉在安全场景里会被放大成错误结论。**普通聊天机器人把软件版本记错，通常只是答案不准确；渗透 Agent 把未验证的猜测当成漏洞，可能导致错误报告、无效操作，甚至对业务造成干扰。因此，Nightcrawler 后续是否提供事实状态、证据引用、完成闸门和只读模式，比单纯更换更大模型重要得多。

手机形态有真实场景，但不是为了随时“黑一下”

**Nightcrawler 最合理的使用场景是已授权、低带宽和强调数据本地化的安全测试。**例如，安全工程师可以在隔离实验室、CTF 环境、内部靶场或自己管理的网络中，用手机完成初步资产检查，再把证据带回工作站深入分析。

**移动形态也适合作为临时传感器或边缘节点。**一台低功耗、带电池和移动网络的设备，可以部署在分支机构、机房或测试网络内执行受控检查；与持续在线的笔记本相比，手机的便携性、续航和通信能力确实具有优势。

**Nightcrawler 不应被理解为降低未授权攻击门槛的消费级应用。**渗透测试的合法性来自明确授权，而不是工具是否开源；在没有授权的网络上进行端口探测、漏洞验证或凭据测试，都可能触碰法律和业务边界。项目若想扩大用户群，默认只读、目标白名单、速率限制、危险操作确认和完整审计日志应当成为基础功能。

更需要警惕的是 Agent 自己的攻击面

**Agent 攻击面是模型、工具、Skill、依赖和外部输入共同形成的可利用边界。**当 Agent 能读取网页、执行命令和访问本地文件后，网页中的提示词注入、恶意工具输出、被投毒的 Skill 或依赖包，都可能诱导它偏离原始任务。

2026 年以来，Agent Skill 的供应链风险已经成为安全行业重点。腾讯朱雀实验室披露其对 50,000 多个 Skill 的扫描结果，并在 6 月开源 Agent 安全演习 Skill；这说明“给 Agent 安装能力”与“给 Agent 扩大攻击面”通常是同一件事。

**开源只能提高可审计性，不能自动保证 Nightcrawler 安全。**用户仍需检查仓库提交、第三方依赖、模型文件来源、工具权限和更新机制。尤其在手机上，通讯录、相册、定位、浏览器会话和身份令牌可能共存于一台设备，错误的权限设计会让安全测试工具本身成为高价值攻击目标。

一个更稳妥的 Nightcrawler 部署至少应具备以下边界：

• 使用专用测试手机，不与日常通信和支付账户混用；
• 将测试目标限制在明确白名单内；
• 默认禁用破坏性工具和持久化操作；
• 对每一次工具调用保存时间、参数、退出状态和原始证据；
• 把模型输出视为建议，而不是已经验证的安全事实；
• 对 Skill、模型和二进制依赖固定版本并校验来源；
• 在企业环境中通过隔离网络和受控权限运行。

Nightcrawler 值得关注，但距离“手机红队”还很远

**Nightcrawler 是一个方向正确、工程挑战明显的开源实验。**它证明移动端本地 AI 不必停留在摘要、翻译和聊天，也可以进入需要多轮规划、工具调用和环境反馈的专业任务。

**它目前最大的卖点是形态创新，而不是已经证明了更高的渗透能力。**手机本地执行带来隐私、便携和弱网优势，但也同时牺牲模型规模、持续性能、工具兼容性和可观测性。对于开发者，Nightcrawler 的价值更像一块移动 Agent 工程试验田；对于专业安全团队，它暂时更适合作为辅助节点，而不是替代现有工具链。

**Nightcrawler 能否真正站住脚，取决于接下来是否补齐可复现评测。**项目需要回答的不是“手机能不能运行 Agent”，而是同一套任务在手机、笔记本和云端上分别需要多少时间、多少人工介入、产生多少误报，以及高风险操作能否被可靠拦截。

如果这些数据能够公开，Nightcrawler 可能推动一类新的产品形态：不再把手机仅仅当作 Agent 的遥控器，而是把它变成自带模型、工具、证据和权限边界的便携安全计算节点。这个方向有用，也足够新，但必须建立在授权、审计和可控之上。

参考来源

• Nightcrawler GitHub 仓库：项目源码、最新说明与后续更新的官方入口。
• VulnClaw GitHub 仓库：用于对比桌面或服务器端 AI 渗透 Agent 的工作流、Skill 和证据管理设计。