1. 为什么要在 OpenCode 里接 HexStrike如果你平时用 OpenCode 写代码又偶尔需要做点安全测试那 HexStrike 这个 MCP 服务器值得了解一下。它把 Kali 上常用的那批工具nmap、nuclei、sqlmap、ffuf、hydra 这些统一封装成 MCP 工具接口让大模型能直接调用。OpenCode 本身是终端里的 AI 编码代理支持 MCP 工具调用两者接上之后你就能在同一个终端会话里既写代码又跑扫描。这篇聚焦的是配置环节怎么在 OpenCode 里声明 HexStrike 的 MCP 服务、怎么写 config.toml、怎么验证连通、怎么触发一次最小化的渗透任务。适合已经装好 OpenCode、手头有一台 Kali或能跑 HexStrike 的 Linux 机器的安全测试人员。整个过程不需要你记一堆命令行参数配置写对一次后面就是自然语言驱动。需要提前说明的是HexStrike 会调用真实的安全工具请只在你拥有授权的目标上使用本地实验环境或者自己搭的靶机最稳妥。2. 前置准备TaoToken 与 HexStrike 服务OpenCode 要调用模型需要一个稳定的 API 入口。我这边用的是 TaoToken它的 API 地址是https://taotoken.net/api兼容常见的 OpenAI 风格调用。你需要在 TaoToken 控制台生成一个 API Key后面写进 OpenCode 的配置里。具体操作路径打开https://taotoken.net/api-keys?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content创建 Key复制出来先存好。如果你还没决定用哪个模型可以先去https://taotoken.net/models?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content看看当前可用的对话模型选一个工具调用能力强的。HexStrike 这一侧需要在 Kali 上把它跑起来。Kali 官方源如果已经收录直接sudo apt update sudo apt install hexstrike-ai如果源里没有或者想要最新版从项目仓库拉git clone https://github.com/0x4m4/hexstrike-ai.git cd hexstrike-ai python3 -m venv venv source venv/bin/activate pip install -r requirements.txt装完之后确认监听地址。默认是127.0.0.1只允许本机访问。如果你打算让另一台机器上的 OpenCode 连过来需要改成局域网 IP。找到主文件里的这行API_HOST os.environ.get(HEXSTRIKE_HOST, 127.0.0.1)改成你 Kali 的实际地址比如192.168.3.6。然后启动服务建议用 screen 挂后台screen -S hexstrike hexstrike_server --debug # CtrlA D 脱离防火墙放行对应端口sudo ufw allow 8888/tcp sudo ufw reload验证服务本身活着curl http://192.168.3.6:8888/health返回里能看到status:healthy和工具数量就说明 HexStrike 端没问题了。3. 可复制配置config.toml 与 MCP 声明OpenCode 的配置有两种常见写法一种是opencode.json一种是config.toml。这篇以config.toml为主因为标题里点名了它。核心是把 HexStrike 声明成一个 local 类型的 MCP 服务通过hexstrike_mcp.py这个桥接脚本去连远程的 HexStrike 服务。先看config.toml的骨架# ~/.config/opencode/config.toml [provider.taotoken] type openai base_url https://taotoken.net/api api_key sk-你的TaoToken密钥 [model] provider taotoken name gpt-4o [mcp.hexstrike] type local command [python, /home/kali/hexstrike-ai/hexstrike_mcp.py, --server, http://192.168.3.6:8888] enabled true几个关键点。base_url用 TaoToken 的 API 地址不要带多余路径。api_key换成你在控制台生成的那串。command必须是数组形式第一个元素是解释器后面依次是脚本路径和参数。如果你在 Windows 上跑 OpenCode路径要写成双反斜杠转义比如E:\\CODE\\kali-mcp\\hexstrike-ai\\hexstrike_mcp.py。如果你更习惯 JSON 格式等价的opencode.json是这样{ $schema: https://opencode.ai/config.json, mcp: { hexstrike: { type: local, command: [ python, E:\\CODE\\kali-mcp\\hexstrike-ai\\hexstrike_mcp.py, --server, http://192.168.3.6:8888 ], enabled: true } } }两种格式选一种就行别同时存在否则 OpenCode 可能读到你没预期的那份。配置里的--server参数指向的就是第 2 步里 HexStrike 的监听地址端口默认 8888。写完之后先在命令行单独测一下桥接脚本能不能跑通这一步能省掉后面很多排查时间python /home/kali/hexstrike-ai/hexstrike_mcp.py --server http://192.168.3.6:8888如果脚本能正常启动、不报连接错误说明桥接层没问题可以进 OpenCode 了。4. 验证请求与最小化渗透任务配置写好后在终端直接运行opencode启动。进去之后先做一次连通性验证最直接的方式是让模型列出工具状态调用 hexstrike 列出所有 essential 工具状态如果 MCP 接得对OpenCode 会解析这个 prompt通过 HexStrike MCP 去请求工具列表然后返回一批可用工具和它们的状态。你能看到 nmap、nuclei、sqlmap 这些名字出现在结果里就说明整条链路通了OpenCode → TaoToken 模型 → MCP 桥接 → HexStrike 服务 → Kali 工具。接下来触发一次最小化的渗透任务。选一个你完全拥有授权的目标比如本地靶机192.168.1.10输入用 hexstrike 对目标 192.168.1.10 做一次快速 reconnaissance端口扫描 服务指纹识别OpenCode 会把这句话拆解成工具调用序列先跑端口扫描再对开放端口做指纹识别最后把结果整理回来。整个过程你不需要手敲 nmap 参数模型会根据返回结果决定下一步。实测下来第一次跑建议目标选简单点比如只开了一两个端口的靶机这样返回快、也容易判断结果是否符合预期。如果你想验证更完整的链路可以试对 example.com 启动流程先 subfinder 找子域httpx 过滤存活nuclei 扫描常见漏洞注意把example.com换成你有权限测试的域名。模型会按顺序调用工具中间结果会作为下一步的输入。这一步能跑通说明你的自动化渗透工作流基本成型了。5. 本篇常见错排查配置过程中最容易卡在几个地方我按出现频率排一下。MCP 服务没起来。表现是 OpenCode 里调用 hexstrike 没反应或者提示工具不存在。先回到命令行单独跑hexstrike_mcp.py看它能不能连上--server指定的地址。连不上就检查 HexStrike 服务是否在跑、端口是否放行、IP 是否写对。command 数组写错。command必须是数组不能写成字符串。Windows 路径的反斜杠要转义成\\或者干脆用正斜杠/也能识别。脚本路径建议写绝对路径相对路径在不同工作目录下会找不到。TaoToken 侧报 401 或 403。多半是 API Key 没填对或者过期了。去https://taotoken.net/api-keys?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content重新生成一个替换配置里的api_key。另外确认base_url是https://taotoken.net/api不要多加/v1之类的后缀。模型不调用工具。有些模型对工具调用的支持一般会出现它只回复文字、不去调 MCP 的情况。换一个工具调用能力强的模型试试在https://taotoken.net/models?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content里挑。配置里的name字段要和模型列表里的标识一致。端口扫描结果为空。先确认目标可达ping或curl一下。如果目标在另一网段检查路由和防火墙。HexStrike 调用的工具本身也可能因为权限不足跑不出结果Kali 上建议用有足够权限的账户运行。配置文件不生效。OpenCode 读的是用户目录下的配置确认你改的是它实际加载的那份。改完重启 OpenCode。如果config.toml和opencode.json同时存在删掉不用的那份。6. 后续怎么用得更顺配置跑通只是起点。日常用的时候把常用目标整理成一个清单每次让模型按清单批量跑 reconnaissance比一个个手输省事。工具调用返回的结果如果太长可以让模型只输出关键字段比如开放端口和服务版本避免刷屏。如果你打算长期在 OpenCode 里做编码加安全测试的混合工作流可以考虑 TaoToken 的 Coding Plan路径在https://taotoken.net/coding-plan?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content适合需要稳定调用和较高额度的场景。接入文档在https://taotoken.net/doc?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content遇到参数细节可以对照查。模型对话入口在https://taotoken.net/chat?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content想先单独试试模型对工具调用的理解能力可以从这里入手。最后提醒一句HexStrike 调用的都是真实攻击工具务必只在授权范围内使用。本地搭个靶机练手比拿真实资产试要稳妥得多。配置这东西写对一次后面就是自然语言驱动省下来的时间可以花在分析结果上。