العربية

→ العودة إلى القائمة

عالم اختبار الاختراق انقلب ليلًا واحدًا! Xalgorix منصة هجوم تعمل بالذكاء الاصطناعي مؤتمتة بالكامل على 22 مرحلة أصبحت مفتوحة المصدر، مع دعم مباشر للنماذج المحلية

itadol5j

الغلاف

ما أثقل ما في عمل اختبار الاختراق؟ ليس كتابة التقارير، بل الأعمال المتكررة — الاستطلاع، وتخمين الأدلة (directory brute-force)، واختبار نقاط الحقن، والتحقق من SSRF، وفحص CORS… فاختبار اختراق ويب قياسي يتطلب على الأقل تشغيل أكثر من عشر أدوات، وكتابة مئات الأوامر، ثم تجميع النتائج يدويًا.

في السنوات الأخيرة تسابق أدوات أمن الذكاء الاصطناعي بشراسة، لكن معظم المشاريع إما لا تشغّل سوى مرحلة واحدة، أو تُقيَّد بعدد قليل من النماذج الثابتة، أو واجهتها سيئة لدرجة أن يكون سطر الأوامر هو السبيل الوحيد.

حتى شاهدت Xalgorix — مشروع يفكك منهجية اختبار الاختراق بأكملها إلى 22 مرحلة تشغَّل آليًا بالكامل، مع لوحة تحكم ويب، وقياس عن بُعد في الوقت الفعلي، وتقارير PDF، ويدعم MiniMax وGPT وClaude وGemini وأي واجهة متوافقة مع OpenAI. مفتوح المصدر، مكتوب بلغة Go، يستضاف ذاتيًا، ويطير بأمر make build واحد.

عنوان المشروع: github.com/xalgord/xalgorix

ما هو Xalgorix فعلًا؟

التعريف بجملة واحدة: منصة اختبار اختراق بالذكاء الاصطناعي تُستضاف ذاتيًا.

وهي تجمع بين:

  • عقل وكيل (Agent) مدفوع بنموذج لغوي كبير (LLM)
  • أتمتة المتصفح (لأغراض DAST والسيناريوهات التي تتطلب تفاعلًا)
  • سلسلة أدوات الطرفية (تثبيت آلي حسب الحاجة لأدوات الأمن الشائعة)
  • منهجية اختبار اختراق من 22 مرحلة
  • تيار أحداث WebSocket في الوقت الفعلي
  • نظام إدارة الاكتشافات (الثغرات + CVSS + حالة التحقق)
  • توليد تقارير PDF بعلامة تجارية
  • تكامل مع AgentMail وDiscord

افتح المتصفح وتوجه إلى http://127.0.0.1:9137 وسيكون أمامك «مركز قيادة اختراق الذكاء الاصطناعي».

منهجية الـ 22 مرحلة: من الاستطلاع إلى الثغرات صفر اليوم

هذا ما أبهرني أكثر ما في Xalgorix — فهو ليس النموذج الخشن من نوع «ألقِ رابط URL ودع الذكاء الاصطناعي يدبر أموره بنفسه»، بل يفكك اختبار الاختراق إلى 22 مرحلة مرتبة:

  • المرحلتان 1-2: الاستطلاع / التنقيب اليدوي عن الثغرات
  • المرحلتان 3-4: اكتشاف الملفات والأدلة / تحليل CORS وملفات تعريف الارتباط (Cookie)
  • المرحلتان 5-6: اختبار جلسات المصادقة / اختبار الحقن (SQL/XSS/Cmd)
  • المرحلتان 7-8: اختبار SSRF / تجاوز الصلاحيات IDOR
  • المرحلتان 9-10: اختبار API وGraphQL / اختبار تحميل الملفات
  • المرحلتان 11-12: إلغاء التسلسل وتنفيذ الأوامر عن بُعد RCE / حالات التسابق ومنطق الأعمال
  • المرحلتان 13-14: الاستيلاء على النطاقات الفرعية / اختبار إعادة التوجيه المفتوحة Open Redirect
  • المرحلتان 15-16: اختبار أمان البريد الإلكتروني / السحابة والبنية التحتية
  • المرحلتان 17-18: اختبار WebSocket / اختبارات خاصة بأنظمة إدارة المحتوى CMS
  • المرحلتان 19-20: اختطاف الروابط المعطلة / التحقق من الثغرات
  • المرحلتان 21-22: اكتشاف ثغرات صفر اليوم / التقرير النهائي

يمكنك تشغيلها جميعًا، أو تحديد مراحل معينة فقط من واجهة الويب — إذا أردت مثلًا اختبار SSRF وIDOR فقط، فحدد هاتين المرحلتين تكفي؛ توفر في الوقت والرموز.

ثلاثة أنماط مسح

رسم توضيحي
  • Single target: اختبار عنوان URL أو مضيف معروف منفرد
  • Wildcard / multi: أهداف متعددة بالحروف البدلية، لاكتشاف سطح الهجوم والمسح الدفعي
  • DAST: اختبار بمساعدة المتصفح، مخصص لتطبيقات الويب وتدفقات المصادقة والنماذج وسلوك التشغيل

نمط DAST هو نقطة الضوء — كثير من أدوات اختبار الاختراق بالذكاء الاصطناعي لا تدعم أتمتة المتصفح، فتتعطل أمام تطبيقات الويب الحديثة التي تتطلب تسجيل دخول أو تفاعل SPA. أما Xalgorix فقد ضمّن طبقة متصفح كاملة قادرة على إنجاز تدفق تسجيل الدخول وتقديم النماذج والتفاعل مع JavaScript بالكامل.

ثلاث خطوات للانطلاق، و60 ثانية تكفي

متطلبات البيئة: Linux وGo 1.24.2 أو أحدث.

الخطوة 1: الاستنساخ والترجمة

git clone https://github.com/xalgord/xalgorix.git
cd xalgorix
make build
sudo install -m 755 build/xalgorix /usr/local/bin/xalgorix

يقوم make build أولًا بترجمة واجهة الويب React إلى internal/web/static، ثم بترجمة الملف التنفيذي لـ Go.

الخطوة 2: إعداد النموذج اللغوي LLM

أنشئ الملف ~/.xalgorix.env: 

XALGORIX_LLM=minimax/MiniMax-M2.7
XALGORIX_API_KEY=your_provider_api_key

نوصي المستخدمين في الصين بـ MiniMax-M2.7؛ فعاليته من حيث التكلفة عالية، وهو ودود مع تقارير اختبار الاختراق باللغة الصينية. كما يدعم OpenAI وأي واجهة مخصصة متوافقة مع OpenAI وGemini.

إعداد OpenAI: 

XALGORIX_LLM=openai/gpt-5.4
XALGORIX_API_KEY=sk-...

واجهة مخصصة متوافقة مع OpenAI (مثل Alibaba Tongyi وZhipu وغيرهما): 

XALGORIX_LLM=custom/security-model
XALGORIX_API_BASE=https://your-provider.example/v1
XALGORIX_API_KEY=your_provider_api_key

الخطوة 3: تشغيل لوحة تحكم الويب

xalgorix --web

افتح المتصفح وتوجه إلى http://127.0.0.1:9137 وابدأ العمل.

يمكن التشغيل من سطر الأوامر أيضًا

للمستخدمين الأشداء الذين لا يريدون واجهة الويب: 

xalgorix --target https://example.com

ومع تعليمات مخصصة: 

xalgorix --target https://app.example.com --instruction "Focus on SQL injection, IDOR, and auth bypass. Avoid destructive tests."

تُقدَّم تعليمات اللغة الطبيعية من هذا النوع مباشرة إلى الوكيل، فينفذ وفق الاستراتيجية التي تحددها.

نمط الخدمة Service Mode: التشغيل كخدمة نظام

رسم توضيحي

لمن يحتاج تشغيل مسح دفعي على مدار الساعة 7×24: 

sudo xalgorix --start
sudo xalgorix --restart
sudo xalgorix --stop
sudo xalgorix --uninstall

journalctl -u xalgorix -f

تريد الوصول إلى المتصفح عن بُعد؟ يجب أولًا تفعيل مصادقة لوحة التحكم: 

sudo tee -a /root/.xalgorix.env >/dev/null <<EOF
XALGORIX_BIND=0.0.0.0
XALGORIX_USERNAME=admin
XALGORIX_PASSWORD=change-this
EOF

sudo xalgorix --restart

تنبيه: في حال عدم إعداد المصادقة، يرفض الخادم مباشرة الارتباط الخارجي. هذه القيمة الافتراضية الآمنة تستحق إشادة بالمؤلف.

منظومة التكاملات

ليست Xalgorix جزيرة معزولة:

  • AgentMail: بريد إلكتروني مؤقت للاختبارات، واستقبال رسائل التحقق، وتدفقات OTP، وأحداث تُطلق بالبريد
  • Discord Webhook: دفع فوري للثغرات عالية الخطورة، مع إمكانية تعيين حد أدنى لدرجة الخطورة

مثال إعداد Discord: 

XALGORIX_DISCORD_WEBHOOK=https://discord.com/api/webhooks/...
XALGORIX_DISCORD_MIN_SEVERITY=high

بهذا لا تصلك إشعارات إلا عن الاكتشافات من درجة high فأعلى، تجنبًا لغرقك في معلومات الخطورة المنخفضة.

ميزة التقارير: PDF صالح للتسليم إلى العملاء مباشرة

ميزة التقارير في كثير من الأدوات مفتوحة المصدر لا تُضحك — إما JSON خالص، أو Markdown مرتجل، لا يصلح أي منها للتسليم إلى عميل مباشرة.

أما وحدة التقارير في Xalgorix فقد شُيّدت بعناية حقيقية:

  • Summary: ملخص تنفيذي، وبيانات وصفية للهدف، وبيانات وصفية للمسح، ونظرة عامة على درجات الخطورة
  • Findings: اكتشافات مُتحقق منها، وتفاصيل CVSS، وتحليل تقني، وإثبات استغلال
  • Evidence: أوامر إثبات المفهوم PoC، وسكربتات، وحِمَل (payload)، وملاحظات داعمة
  • Remediation: إرشادات الإصلاح وترتيب الأولويات
  • Branding: اسم الشركة والشعار (يمكنك رفع شعارك الخاص)

بعد انتهاء عملية المسح، تُخرج مباشرة تقرير PDF يحمل شعار شركتك، صالحًا للتسليم فورًا. هذه ميزة مُعدَّة لشركات الاستشارات الأمنية وفرق SRC ومزودي خدمات اختبار الاختراق.

تصميم آمن لوقت التشغيل

رسم توضيحي

أخذت Xalgorix على عاتقها أمر «ألا تُخترق هي نفسها»:

  • ترتبط افتراضيًا بعنوان الاسترجاع (loopback) فقط(127.0.0.1)، ولا تُكشف للخارج إلا بتفعيل المصادقة صراحة
  • سياسة المسارات: عمليات الكتابة على نظام الملفات لا تسمح إلا بـ data_dir و~/.xalgorix/ و/tmp، ويُرفض كل ما عداه
  • حدود المثيلات الواعية بالموارد: تجنب نفاد الذاكرة بسبب تشغيل عمليات مسح كثيرة على آلة واحدة
  • مراقب مهلات صارم لكل أداة: العملية الفرعية المعلقة تُقتل قسرًا
  • التحكم في قبول العمليات المتزامنة: عمليات المسح التي تتجاوز الحد تُرفض، فلا تكديس أعمى للمهام

كما تكشف واجهة GET /api/status إحصاءات وقت التشغيل: panics_recovered وpath_rejections وwatchdog_kills وadmission_refusals وllm_inflight_cap. هذا النهج في كتابة قابلية المراقبة في واجهة API قياسية يدل على أن المؤلف مهندس عملي لا صانع عروض PoC.

التغييرات الكاسرة في v4.4.18 هذه المرة

تنبيهات الترقية: مخرجات المسح والملاحظات والجدولة وغيرها من البيانات المولدة تُخزَّن الآن جميعها في ~/.xalgorix/data/ ، ولم تعد تُوضع في دليل بدء تشغيل الملف التنفيذي.

ومن أراد من المستخدمين القدامى الإبقاء على السلوك السابق: 

export XALGORIX_DATA_DIR=$(pwd)

عند بدء التشغيل، إذا اكتُشفت في $CWD علامات المسارات القديمة مثل notes.json و_schedules/ وvulnerabilities.json، تُطبع تحذيرات [MIGRATION] — لكن Xalgorix لن يقرأ هذه الملفات القديمة أو ينسخها أو يحذفها آليًا. إنه مجرد تذكير بالترحيل، دون أي عبث بالبيانات؛ وهذا التحفّظ يبعث على الاطمئنان.

لمن يصلح هذا المشروع؟

مهندسو الفرق الحمراء / اختبار الاختراق: منهجية الـ 22 مرحلة + الأتمتة + تعليمات اللغة الطبيعية تحررك من الأعمال المتكررة لتركز على التنقيب اليدوي والتحليل العميق.

صيادو Bug Bounty: المسح الدفعي للأهداف بالحروف
البدلية، واكتشاف سطح الهجوم آليًا، ودفع الثغرات عالية الخطورة فورًا عبر Discord. أثناء نومك يجني الذكاء الاصطناعي المكافآت عنك.

فرق SRC / الفرق الزرقاء: تشغيل فحوصات ذاتية دورية ورسم خريطة واضحة لسطح هجوم أصول المؤسسة. وتقارير PDF بعلامة تجارية للعرض على الإدارة مباشرة.

شركات الاستشارات الأمنية: فعّل نمط الخدمة، مع مسح معزول لكل عميل، وتقارير تحمل علامة العميل التجارية.

الطلاب / الباحثون: منهجية الـ 22 مرحلة بذاتها كتاب مدرسي حي لاختبار الاختراق؛ مفتوح المصدر، قابل للقراءة والتعديل.

لماذا يستحق هذا المشروع المتابعة

رسم توضيحي

ليست أدوات اختبار الاختراق بالذكاء الاصطناعي نادرة في 2026، لكن القليلة منها تحقق «حلقة مغلقة كاملة» بمستوى Xalgorix:

  • ليست مجرد وكيل بلا واجهة (كثير من أدوات الاختراق بالذكاء الاصطناعي سطر أوامر فقط)
  • وليست مجرد واجهة بلا منهجية (كثير منها مجرد أكوام أزرار)
  • وليست مربوطة بنموذج واحد (تدعم أي واجهة متوافقة مع OpenAI، بما فيها MiniMax الصينية)
  • وليست مخرجات نصف مصنوعة (تقارير PDF بعلامة تجارية صالحة للتسليم مباشرة)
  • وليست تشغيلًا عاريًا بلا تصميم أمني (استرجاع loopback افتراضي، وسياسة مسارات، ومراقب مهلات، وتحكم بالتزامن — كلها متوفرة)

إنجاز «عقل وكيل ذكاء اصطناعي + أتمتة متصفح + سلسلة أدوات + منهجية 22 مرحلة + واجهة ويب + نظام تقارير» كاملًا — هذا الحجم من العمل الهندسي نادر جدًا في عالم المصادر المفتوحة.

تنبيه للاستخدام الآمن

وأخيرًا لا بد من التأكيد على العبارة الرسمية الحرفية:

Use Xalgorix only on systems you own or have explicit permission to test.

استخدم Xalgorix فقط على الأنظمة التي تملكها أو لديك إذن صريح باختبارها.

قوة أدوات الاختراق بالذكاء الاصطناعي سيف ذو حدّين — يمكنها مساعدتك في اكتشاف الثغرات بكفاءة، لكن استخدامها في غير محلها يعني مخاطر قانونية حقيقية. فالترخيص والنطاق وعملية إعداد التقارير كلها تتطلب جدية. أمثلة من وقعوا في المتاعب القانونية بسبب أدوات الذكاء الاصطناعي ليست نادرة في هذه الأيام، فلا تكن أنت الخبر القادم.

الخلاصة

Xalgorix ليس مجرد PoC آخر لاختراق بالذكاء الاصطناعي، بل نموذج مفتوح المصدر يحوّل «اختبار الأمان بالذكاء الاصطناعي» إلى عمل هندسي ومنتج حقيقي.

إذا كنت تعمل في قطاع الأمن، هجومًا أو دفاعًا، فمن المفيد استنساخه وتجربته. وإذا كنت تساهم في المصادر المفتوحة، فمعمارية المشروع من Go + React + LLM Agent عينة تعليمية جيدة أيضًا.

ونعيد نشر عنوان المشروع مرة أخرى:

github.com/xalgord/xalgorix