这几周 GitHub 上最热的已经不是「又出了个新模型」，而是一群干活不要命的 Agent。这次挑两个风格迥异但又搭着正好的项目讲：一个 Strix，六万多星把 AI 渗透测试直接开进终端，干的是安全圈的黑活；另一个 OfficeCLI，专门教 Agent 读写 Word/Excel/PPT，是给自己人省时间的苦力活。一个攻一个守，放一起看特别有意思。
Strix：六万星的「AI 黑客」
Strix（usestrix/strix）现在 6 万星出头，Apache 2.0 开源。它跟传统漏洞扫描器最大的区别是：那帮老扫描器只会报一堆假阳性，Strix 是像真黑客一样把你的应用动态跑起来，先侦察再利用，最后交一个能验证存在的 PoC 给你。它内置多 Agent 编排，一队 AI 渗透测试员可以并行分工、协作扩大战果。装好、给个任意厂商的 LLM API key、开 Docker，就能扫起来。
最值钱的是它跟 CI/CD 的集成：每次 pull request 自动扫一遍，不安全的代码在进生产之前就被拦下来，在 GitHub Actions 里无缝用。对做 bug bounty 的人来说这就是加速器——自动化漏洞研究、生成 PoC、写合规报告，一条龙。底下确实有一堆安全团队在真用，一周涨几千星，不是刷出来的。
实话：别指望它替代真人红队。假阳性少了，但没绝；复杂的业务逻辑漏洞它照样看不全。它是把「一次渗透」从周级压到小时级的工具，不是能给你技术兜底的渗透工程师。当辅助用，别当全部。
OfficeCLI：让 Agent 自己写文档
OfficeCLI（iOfficeAI/OfficeCLI）2.2 万星，Apache 2.0，单二进制，不用装 Office。关键在于它内置的那套 HTML 渲染引擎——能把 docx、xlsx、pptx 渲染成 HTML 甚至 PNG，等于给 AI 配了双眼睛，形成「渲染 → 看 → 改」的闭环。Agent 因此能真正地读写、编辑、生成整套 Office 文件，而不是对着二进制瞎猜。
对 Agent 生态来说这是接地气的基建，不是花活。Claude Code、Codex、Cursor 都能接，一条 officecli install 就把 skill 自动装进每个检测到的编码 Agent。报表、PPT、合同草稿这些办公自动化的活儿，终于能真全自动跑起来了。
实话：它解决的是「格式」不是「内容质量」。AI 生成的 PPT 排版能看，但逻辑硬伤它管不了；单二进制看着轻，处理超大 Excel 时还是有性能债。适合自托管、爱省钱的人，数据也一直留在你手里。
我的看法
这两个放一起很能说明问题：Agent 这一年走的方向，从「会聊天」变成了「会干活」。Strix 干安全，OfficeCLI 干 Office，都是把具体行业的脏活凑成自动化。跟我之前在 godsun.pro 那条实战链路里说的一样——别神化模型本身，要追的是「Agent 能不能实实在在替你干完那件事」。安全、办公自动化这些具体赛道，反而是个人开发者避开 AI 红海、能扎下去动手的地方。
by 数码罗记·godsun.pro
