Български

← Обратно към списъка

Светът на penetration testing се промени за една нощ! Xalgorix – open source платформа за напълно автоматизирано AI атакуване в 22 етапа, свързва се директно с китайски модели

itadol5j

Корица

Какво е най-изтощителното в професията на penetration testing? Не е писането на доклади, а рутинната работа – разузнаване, brute force на директории, тестване на инжекционни точки, валидиране на SSRF, проверка на CORS … Един стандартен web penetration изисква поне дузина инструмента, стотици команди, а после ръчно сглобяване на резултатите.

През последните години AI инструментите за сигурност се развиваха лудо, но повечето проекти или работят само на един етап, или поддържат няколко фиксирани модела, или имат толкова лош интерфейс, че не остава нищо друго, освен да ръчкаш командния ред.

Докато не видях Xalgorix – този проект разделя цялата penetration методология на 22 етапа, изпълнява ги напълно автоматично, с web табло, телеметрия в реално време и PDF доклади,поддържа MiniMax, GPT, Claude, Gemini и всеки OpenAI-съвместим интерфейс. Open source, написан на Go, self-hosted, излита с една команда make build.

Адрес на проекта: github.com/xalgord/xalgorix

Какво всъщност е Xalgorix

Дефиниция в едно изречение:self-hosted платформа за penetration testing с изкуствен интелект.

Тя съчетава:

  • агентски „мозък“, задвижван от LLM
  • автоматизация на браузър (за DAST и сценарии, изискващи взаимодействие)
  • терминална инструментална верига (автоматично инсталиране на често използвани инструменти за сигурност при нужда)
  • методология за penetration testing в 22 етапа
  • поток от WebSocket събития в реално време
  • система за управление на откритията (уязвимости + CVSS + статус на валидация)
  • генериране на PDF доклади с брандинг
  • интеграции с AgentMail и Discord

Отворете браузър на http://127.0.0.1:9137 и това е вашият „AI команден център за penetration“.

Методология в 22 етапа: от разузнаване до zero-day

Това е нещото, което ме впечатли най-много в Xalgorix – не е грубият модел „хвърли URL и остави AI да се оправя сам“, а penetration testing, разложен на 22 подредени етапа:

  • Етапи 1–2: разузнаване / ръчно търсене на уязвимости
  • Етапи 3–4: откриване на директории и файлове / анализ на CORS и Cookie
  • Етапи 5–6: тестване на автентикация и сесии / тестване за инжекции (SQL/XSS/Cmd)
  • Етапи 7–8: SSRF тестване / IDOR неоторизиран достъп
  • Етапи 9–10: API и GraphQL тестване / тестване на качване на файлове
  • Етапи 11–12: десериализация и RCE / race conditions и бизнес логика
  • Етапи 13–14: subdomain takeover / Open Redirect тестване
  • Етапи 15–16: тестване на имейл сигурност / облак и инфраструктура
  • Етапи 17–18: WebSocket тестване / специализирани CMS тестове
  • Етапи 19–20: hijacking на мъртви връзки / валидиране на уязвимости
  • Етапи 21–22: откриване на zero-day / финален доклад

Можете да пуснете всичко или да отметнете в web интерфейса само определени етапи – например ако искате само SSRF и IDOR, отметнете тези две и спестявате време и токени.

Три режима на сканиране

Илюстрация
  • Single target: тестване на един известен URL или хост
  • Wildcard / multi: wildcard множество цели, за откриване на атакуваема повърхност и масово сканиране
  • DAST: тестване с помощта на браузър, специализирано за web приложения, автентикационни потоци, форми и поведение по време на изпълнение

DAST режимът е акцентът – много AI инструменти за penetration testing не поддържат автоматизация на браузър и се провалят при съвременни web приложения, изискващи влизане и SPA взаимодействие. Xalgorix има вграден браузърен слой, който може да изпълни пълния процес на влизане, подаване на форми и JavaScript взаимодействия.

Три стъпки до старта за 60 секунди

Системни изисквания: Linux + Go 1.24.2+.

Стъпка 1: клониране и компилиране

git clone https://github.com/xalgord/xalgorix.git
cd xalgorix
make build
sudo install -m 755 build/xalgorix /usr/local/bin/xalgorix

make build първо компилира React web интерфейса в internal/web/static, след това Go бинарния файл.

Стъпка 2: конфигуриране на LLM

Създайте ~/.xalgorix.env:

XALGORIX_LLM=minimax/MiniMax-M2.7
XALGORIX_API_KEY=your_provider_api_key

За Китай препоръчваме MiniMax-M2.7 – добро съотношение цена/качество и добра работа с penetration доклади на китайски. Поддържат се също OpenAI, персонализирани OpenAI-съвместими интерфейси и Gemini.

OpenAI конфигурация:

XALGORIX_LLM=openai/gpt-5.4
XALGORIX_API_KEY=sk-...

Персонализиран OpenAI-съвместим (например Alibaba Tongyi, Zhipu и др.):

XALGORIX_LLM=custom/security-model
XALGORIX_API_BASE=https://your-provider.example/v1
XALGORIX_API_KEY=your_provider_api_key

Стъпка 3: стартиране на web таблото

xalgorix --web

Отворете браузър на http://127.0.0.1:9137 и започвайте работа.

Работи и от командния ред

За хардкор потребителите, които не искат web интерфейс:

xalgorix --target https://example.com

С персонализирани инструкции:

xalgorix --target https://app.example.com --instruction "Focus on SQL injection, IDOR, and auth bypass. Avoid destructive tests."

Такива инструкции на естествен език се подават директно на агента, който изпълнява стратегията, която сте задали.

Service Mode: стартиране като системна услуга

Илюстрация

За тези, които трябва да въртят масови сканирания 7×24:

sudo xalgorix --start
sudo xalgorix --restart
sudo xalgorix --stop
sudo xalgorix --uninstall

journalctl -u xalgorix -f

Искате отдалечен достъп до браузъра? Първо трябва да активирате автентикация на таблото:

sudo tee -a /root/.xalgorix.env >/dev/null <<EOF
XALGORIX_BIND=0.0.0.0
XALGORIX_USERNAME=admin
XALGORIX_PASSWORD=change-this
EOF

sudo xalgorix --restart

Забележка: без конфигурирана автентикация сървърът директно отказва външно свързване. Тази защитна настройка по подразбиране заслужава похвала за автора.

Екосистема от интеграции

Xalgorix не е изолиран остров:

  • AgentMail: временни имейли за тестове, приемане на валидационни имейли, OTP процеси, събития, задействани от имейл
  • Discord Webhook: известия в реално време за критични уязвимости, с възможност за задаване на минимален праг на тежестта

Пример за Discord конфигурация:

XALGORIX_DISCORD_WEBHOOK=https://discord.com/api/webhooks/...
XALGORIX_DISCORD_MIN_SEVERITY=high

Така ще бъдете известявани само за находки с ниво high и нагоре, за да не се удавите в информация с ниска тежест.

Доклади: PDF, готови за изпращане директно на клиенти

При много open source инструменти функцията за доклади е шега – или чист JSON, или Markdown за запълване, изобщо не е подходящо за директна доставка на клиенти.

Модулът за доклади на Xalgorix е сериозно позаинтересован:

  • Summary: резюме за ръководството, метаданни за целта, метаданни за сканирането, преглед на нивата на тежест
  • Findings: валидирани находки, CVSS детайли, технически анализ, доказателства за експлоатация
  • Evidence: PoC команди, скриптове, payload, подкрепящи наблюдения
  • Remediation: указания за отстраняване, приоритизация
  • Branding: име на компания, лого (можете да качите свое)

След края на сканирането веднага се получава PDF доклад с логото на вашата компания, готов за директна доставка. Това е функция за консултантски фирми в сферата на сигурността, SRC екипи и доставчици на услуги за penetration testing.

Дизайн за сигурна работа

Илюстрация

Xalgorix е положил усилия в това самият той да не бъде компрометиран:

  • По подразбиране се обвързва само с loopback(127.0.0.1), излагането навън изисква изрично активирана автентикация
  • Политика за пътища: записите във файловата система са разрешени само в data_dir, ~/.xalgorix/, /tmp, всички останали се отхвърлят
  • Лимити на инстанциите според ресурсите: предотвратява препълване на паметта, когато една машина върти твърде много сканирания
  • Твърди таймаути и watchdog за всеки инструмент: заклещени подпроцеси се прекратяват принудително
  • Контрол на достъпа при конкурентност: сканирания над лимита се отказват, без безразборно трупане на задачи

Интерфейсът GET /api/status също показва статистика по време на работа: panics_recovered, path_rejections, watchdog_kills, admission_refusals, llm_inflight_cap. Това включване на наблюдаемостта в стандартен API показва, че авторът е инженер, а не човек на PoC-тата.

Промените с потенциал за счупване в v4.4.18

Внимание при ъпгрейд:Резултатите от сканирането, бележките, графиките и другите генерирани данни сега се съхраняват унифицирано в ~/.xalgorix/data/, а не в директорията, от която е стартиран бинарният файл.

Стари потребители, които искат да запазят старото поведение:

export XALGORIX_DATA_DIR=$(pwd)

При стартиране, ако в $CWD бъдат открити стари пътни маркери като notes.json, _schedules/, vulnerabilities.json, се извежда предупреждение [MIGRATION] – но Xalgorix няма автоматично да чете, копира или изтриватези стари файлове. Само ви напомня за миграцията, без да пипа данните – това въздържание внушава спокойствие.

За кого е подходящ

Red team / инженери по penetration testing: 22-етапна методология + автоматизация + инструкции на естествен език – освободете се от рутинната работа и се концентрирайте върху ръчното търсене на дупки и дълбокия анализ.

Bug bounty ловци: масово сканиране на wild
card цели, автоматично откриване на атакуваема повърхност, известия в Discord за критични уязвимости в реално време. Нека AI печели наградите, докато спите.

SRC екипи / blue team: редовни самопроверки, за да изяснят атакуваемата повърхност на корпоративните активи. PDF доклади с брандинг директно за доклад пред ръководството.

Консултантски фирми за сигурност: включете service mode, изолирани сканирания за множество клиенти, доклади с брандинга на клиента.

Студенти / изследователи: 22-етапната методология сама по себе си е жив учебник по penetration testing – open source, четима, подлежаща на модификация.

Защо този проект заслужава внимание

Илюстрация

През 2026 г. AI инструментите за penetration testing не са малко, но малцина постигат „пълния затворен цикъл“ на Xalgorix:

  • не е само агент без интерфейс (много AI инструменти за penetration testing са само команден ред)
  • не е само интерфейс без методология (много са просто купчина бутони)
  • не е обвързан с един модел (поддържа всеки OpenAI-съвместим интерфейс, включително китайския MiniMax)
  • не вади полуфабрикат (PDF доклади с брандинг, готови за директна доставка)
  • не работи гол без защита (loopback по подразбиране, политика за пътища, watchdog, контрол на конкурентността – всичко е налице)

Да се довърши целия пакет „AI агентски мозък + автоматизация на браузър + инструментална верига + 22-етапна методология + web интерфейс + система за доклади“ – такъв инженерен обем е изключително рядкост в света на open source.

Предупреждение за безопасна употреба

И накрая трябва да подчертаем официалните думи:

Use Xalgorix only on systems you own or have explicit permission to test.

Използвайте Xalgorix само върху системи, които притежавате или за тестването на които имате изрично разрешение.

Мощта на AI инструментите за penetration testing е двустранно оръжие – може да ви помогне ефективно да откривате уязвимости, но използвани на грешното място представляват реален правен риск. Разрешението, обхватът и процесът на докладване изискват внимание. Напоследък не са редки случаите, в които хора се озовават в беда заради AI инструменти – не вие ставайте новината.

Заключение

Xalgorix не е още едно AI penetration PoC – той е open source образец на инженерство и продуктово превръщане на „AI тестването на сигурността“ в реалност.

Ако работите в сферата на сигурността, в атака или в защита, си струва да го клонирате и пробвате. Ако допринасяте за open source, архитектурата Go + React + LLM Agent на този проект също е отличен учебен материал.

Още веднъж адресът на проекта:

github.com/xalgord/xalgorix