企业官网建设流程全解析

Vigolium 是一款融合 Agentic AI 与原生扫描速度的高保真漏洞扫描器，其 Agentic Scan（vigolium agent）模式让 LLM 自主规划攻击、选择模块、生成扩展并复核结果。本文是一份完整的配置指南：教你快速接入 OpenAI、Anthropic 与本地模型（Ollama 等），并掌握 BYOK（自带密钥）在单次运行中临时覆盖凭据的用法。

什么是 Vigolium Agentic Scan？

Vigolium 提供两种互补的扫描模式：

Agentic Scan 又包含三种典型用法：

• autopilot—— 自主工具循环，自由探索式测试；
• swarm—— LLM 规划 + 原生扫描器执行 + 可选 AI 复核（triage）；
• audit—— 白盒源码安全审计（可结合--source指向代码库）。

Agentic Scan 的所有 AI 能力都跑在一个进程内的运行时olium（源码见 pkg/olium/）上，因此只需配置一个 LLM 提供商，所有vigolium agent …子命令即可工作。

上图的 AGENT SESSIONS 区域即 Agentic Scan 的运行记录，配置完成后你就能看到它们在这里跑起来。

配置总览：三步接入任意 LLM 提供商

所有设置位于~/.vigolium/vigolium-configs.yaml，可直接编辑该文件，或使用vigolium config set <key> <value>逐条设置。官方示例配置（含逐行注释）在 public/vigolium-configs.example.yaml，其中agent.olium一节覆盖全部可用选项。

接入任意提供商都遵循同一套三步走：

1. 选提供商：vigolium config set agent.olium.provider <provider>
2. 给凭据：环境变量、llm_api_key/oauth_token或oauth_cred_path
3. 验证：vigolium ol -p 'what model are you running'

💡 只要第 3 步能打印出模型名，提供商就接线正确，autopilot、swarm会直接复用同一配置。

提供商一览（摘自 docs/getting-started/setup-agent.md）：

快速接入 OpenAI：API Key 与 ChatGPT 订阅两条路

路径一：用 OPENAI_API_KEY 直连

export OPENAI_API_KEY=sk-... vigolium config set agent.olium.provider openai-api-key vigolium config set agent.olium.model gpt-5.5 # 验证 vigolium ol -p 'what model are you running'

llm_api_key留空时会自动回退到OPENAI_API_KEY环境变量，凭据不落盘、不入库。若偏好写进配置文件，可用${ENV_VAR}展开语法：vigolium config set agent.olium.llm_api_key '${OPENAI_API_KEY}'。

路径二：复用 ChatGPT 订阅（openai-codex-oauth，推荐）

如果你已有 ChatGPT Plus/Pro/Team 订阅，Vigolium 会复用 Codex CLI 的 OAuth 凭据文件，无需任何 API Key，JWT 过期后自动刷新：

codex login # 一次性登录，生成 ~/.codex/auth.json vigolium config set agent.olium.provider openai-codex-oauth vigolium config set agent.olium.oauth_cred_path ~/.codex/auth.json vigolium config set agent.olium.model gpt-5.5 vigolium ol -p 'what model are you running' # 应打印模型名

如何接入 Anthropic：API Key 与 OAuth 令牌两种路径

路径一：Anthropic API Key

按 token 计费的标准 API 接入：

export ANTHROPIC_API_KEY=sk-ant-api03-... vigolium config set agent.olium.provider anthropic-api-key vigolium config set agent.olium.model claude-opus-5 vigolium ol -p 'what model are you running'

路径二：Claude Pro/Max 订阅的 OAuth 令牌

claude setup-token会为订阅生成一个sk-ant-oat01-…格式的 bearer 令牌，避免按 token 计费：

claude setup-token # 打印 sk-ant-oat01-... export ANTHROPIC_API_KEY=sk-ant-oat01-... vigolium config set agent.olium.provider anthropic-oauth vigolium config set agent.olium.model claude-opus-5

⚠️ 注意：anthropic-oauth优先读agent.olium.oauth_token，为空时回退到$ANTHROPIC_API_KEY。官方文档同时提醒：从第三方客户端驱动订阅令牌可能触发限流，日常使用更推荐 Codex OAuth 或本地模型。完整对比见 docs/getting-started/setup-agent.md。

本地模型配置：Ollama、LM Studio 与 OpenRouter 一步到位

openai-compatible提供商可对接任何说 OpenAI Chat Completions 协议的端点，也是 Vigolium 的出厂默认（指向本地 Ollama）。只需配置agent.olium.custom_provider下的base_url与model_id两个字段。

Ollama（本地离线，无需 Key）

ollama pull gemma4:latest ollama serve # 若尚未运行 vigolium config set agent.olium.provider openai-compatible vigolium config set agent.olium.custom_provider.base_url http://localhost:11434/v1 vigolium config set agent.olium.custom_provider.model_id gemma4:latest vigolium ol -p 'what model are you running'

api_key留空即不发送Authorization头 —— 这正是 Ollama 所需要的，全程离线、零成本。

LM Studio

vigolium config set agent.olium.provider openai-compatible vigolium config set agent.olium.custom_provider.base_url http://localhost:1234/v1 vigolium config set agent.olium.custom_provider.model_id <LM Studio 中显示的模型 ID>

OpenRouter（一个 Key 访问多厂商模型）

export OPENROUTER_API_KEY=sk-or-... vigolium config set agent.olium.provider openai-compatible vigolium config set agent.olium.custom_provider.base_url https://openrouter.ai/api/v1 vigolium config set agent.olium.custom_provider.model_id anthropic/claude-sonnet-4.6 vigolium config set agent.olium.custom_provider.api_key '${OPENROUTER_API_KEY}'

两个实用技巧：

• 自定义请求头：部分后端需要非Bearer认证或租户标记，用extra_headers（curl 风格的"Key: Value"列表，后写的同名头覆盖先写的）：

  vigolium config set agent.olium.custom_provider.extra_headers.add 'Authorization: Bearer custom-api-token'

• 模型必须会"调用工具"：Agentic Scan 依赖 function calling，gemma4、qwen2.5-coder、llama3.1-instruct、mistral-nemo表现良好；小模型常忽略工具定义而用纯文本回复 —— 若 agent 从不调用工具，请换用经过工具训练的模型。

📌 更多端点示例（vLLM、Together、Groq 等）与路由规则见 docs/getting-started/setup-agent.md。

BYOK 进阶：单次运行临时覆盖密钥

BYOK（Bring Your Own Key，自带密钥）让你不改全局配置，在单次运行中临时注入 LLM 凭据 —— 适合多团队共用一台 Vigolium 服务器、CI 流水线注入短时效令牌等场景。

CLI：--api-key/--oauth-token/--oauth-cred-file

三个 flag 互斥、均可选，作用到本次实际运行的驱动上：

# Anthropic Key 从环境变量读取（推荐，避免密钥出现在 ps / shell 历史里） vigolium agent audit --source ./src --intensity balanced \ --api-key '$ANTHROPIC_API_KEY' # 或从权限为 0600 的文件读取 vigolium agent audit --source ./src --api-key @~/.vigolium/keys/anthropic.txt

CLI 独有的两种间接引用形式：

REST API：请求体字段

POST /api/agent/run/autopilot、/api/agent/run/swarm、/api/agent/run/audit等均接受 BYOK 字段，且会根据 key 形态自动识别提供商，无需手动传provider：

curl -s -X POST http://localhost:9002/api/agent/run/autopilot \ -H "Content-Type: application/json" \ -d '{ "target": "https://example.com", "api_key": "sk-ant-real-secret" }'

⚠️ REST 字段只按字面量处理，不做$ENV/@path展开 —— 否则任何调用者都能借此探测服务器的环境变量与文件系统。需要文件凭据时请在服务器侧预先放置。

密钥安全：日志自动脱敏

BYOK 凭据在日志与打印的命令行之中会被替换为<redacted>（涉及ANTHROPIC_API_KEY、OPENAI_API_KEY、Authorization头等），但不会持久化到配置文件或数据库。完整的五层脱敏机制与端点字段矩阵见 docs/agentic-scan/byok-matrix.md 与 docs/agentic-scan/audit-byok.md。

验证配置是否真正生效

配好后按顺序跑一遍下面的命令，每一步都会快速失败并给出明确提示，缺失的通常是未设置的环境变量或写错的agent.olium.provider：

# 1. 最小验证：一次提示词、一次提供商调用，不触发扫描 vigolium ol -p 'hello' # 2. 源码问答：走引擎的代码审查路径 vigolium agent query -p 'list every route in this repo' --source . # 3. autopilot 冒烟测试：限定强度与时长，控制成本 vigolium agent autopilot -t https://example.com --intensity quick --max-duration 5m # 4. 白盒源码审计（轻量模式） vigolium agent audit --source . --mode lite

一切就绪后，你的第一条 Agentic Scan 就是：

vigolium agent autopilot -t https://example.com --intensity balanced

常见问题速查

延伸阅读

• Agentic 提供商完整矩阵与 BYOK：docs/getting-started/setup-agent.md
• BYOK 端点 × 字段参考矩阵：docs/agentic-scan/byok-matrix.md
• audit 驱动 BYOK 端到端详解：docs/agentic-scan/audit-byok.md
• Agentic Scan 入门（autopilot / swarm）：docs/getting-started/agentic-scan.md
• 全部配置项带注释示例：public/vigolium-configs.example.yaml
• 配置结构源码（AgentConfig/OliumConfig）：internal/config/agent.go