Čeština

← Zpět na seznam

V komunitě penetračního testování se přes noc změnilo vše! Xalgorix, open-source platforma pro automatické AI útoky ve 22 fázích, připojí i čínské modely

itadol5j

Titulní obrázek

Co je na penetračním testování nejúnavnější? Psaní reportů ne – tou největší dřinou je opakovaná rutina: průzkum, procházení adresářů, testování injekcí, ověřování SSRF, kontrola CORS… U standardního webového pentestu odkliknete minimálně desítku nástrojů a stovky příkazů a výsledky pak ručně poskládáte dohromady.

AI bezpečnostních nástrojů poslední roky přibývá závratným tempem, ale většina projektů buď zvládne jen jednu fázi, nebo podporuje jen několik pevně daných modelů, nebo má UI tak mizerné, že nezbývá než to rvát v příkazové řádce.

A pak jsem narazil na Xalgorix – projekt, který celou pentest metodiku rozdělil na 22 fází, běží plně automaticky a přidává webový dashboard, telemetrii v reálném čase a PDF reporty,podporuje MiniMax, GPT, Claude, Gemini a jakékoli OpenAI kompatibilní rozhraní. Open source, napsaný v Go, self-hosted, jeden příkaz make build a startujete.

Adresa projektu: github.com/xalgord/xalgorix

Co přesně Xalgorix je

Definice jednou větou:self-hosted platforma pro AI penetrační testování.

Kombinuje v sobě:

  • agentovský mozek poháněný LLM
  • automatizaci prohlížeče (pro DAST a scénáře vyžadující interakci)
  • terminálový toolchain (automatická instalace běžných bezpečnostních nástrojů na vyžádání)
  • pentest metodiku o 22 fázích
  • stream WebSocket událostí v reálném čase
  • systém pro správu nálezů (zranitelnost + CVSS + stav ověření)
  • generování PDF reportů s vlastním brandingem
  • integraci AgentMail a Discord

Otevřete prohlížeč na adrese http://127.0.0.1:9137 a máte před sebou své „velitelství AI penetrace”.

Metodika o 22 fázích: od průzkumu k zero-day

To je věc, která mě na Xalgorix nejvíc zaujala – není to ten hrubý model „hoď sem URL a nech AI, ať si poradí”, ale rozdělení penetračního testu do 22 uspořádaných fází:

  • Fáze 1–2: průzkum / manuální hledání zranitelností
  • Fáze 3–4: objevování souborů a adresářů / analýza CORS a cookies
  • Fáze 5–6: testování autentizačních relací / testování injekcí (SQL/XSS/Cmd)
  • Fáze 7–8: testování SSRF / IDOR a překročení oprávnění
  • Fáze 9–10: testování API a GraphQL / testování nahrávání souborů
  • Fáze 11–12: deserializace a RCE / race conditions a business logika
  • Fáze 13–14: převzetí subdomény / testování Open Redirect
  • Fáze 15–16: testování bezpečnosti e-mailu / cloud a infrastruktura
  • Fáze 17–18: testování WebSocket / specializované testování CMS
  • Fáze 19–20: převzetí mrtvých odkazů / ověření zranitelností
  • Fáze 21–22: hledání zero-day / finální report

Můžete pustit všechno naráz, nebo si ve webovém UI zaškrtnout jen konkrétní fáze – například když chcete otestovat pouze SSRF a IDOR, zaškrtnete tyto dvě a šetříte čas i tokeny.

Tři režimy skenování

Ilustrace
  • Single target: testování jedné známé URL nebo hostitele
  • Wildcard / multi: více cílů přes zástupné znaky, objevování attack surface a hromadné skenování
  • DAST: testování s podporou prohlížeče, zaměřené na webové aplikace, autentizační toky, formuláře a runtime chování

Režim DAST je jasným tahákem – mnoho AI pentest nástrojů automatizaci prohlížeče nepodporuje, takže u moderních webových aplikací vyžadujících přihlášení nebo SPA interakci tápe. Xalgorix má prohlížečovou vrstvu zabudovanou přímo a dokáže projet celý přihlašovací tok, odesílání formulářů i JavaScriptové interakce.

Tři kroky k rozjezdu, hotovo za 60 sekund

Požadavky na prostředí: Linux + Go 1.24.2+.

Step 1: klonování a kompilace

git clone https://github.com/xalgord/xalgorix.git
cd xalgorix
make build
sudo install -m 755 build/xalgorix /usr/local/bin/xalgorix

Příkaz make build nejprve zkompiluje React Web UI do internal/web/static a následně zkompiluje binárku v Go.

Step 2: konfigurace LLM

Vytvořte soubor ~/.xalgorix.env:

XALGORIX_LLM=minimax/MiniMax-M2.7
XALGORIX_API_KEY=your_provider_api_key

V Číně se doporučuje MiniMax-M2.7 – má výborný poměr cena/výkon a dobře si rozumí s čínskými pentest reporty. Podporováno je také OpenAI, vlastní OpenAI kompatibilní rozhraní a Gemini.

Konfigurace OpenAI:

XALGORIX_LLM=openai/gpt-5.4
XALGORIX_API_KEY=sk-...

Vlastní OpenAI kompatibilní rozhraní (např. Alibaba Qwen, Zhipu a další):

XALGORIX_LLM=custom/security-model
XALGORIX_API_BASE=https://your-provider.example/v1
XALGORIX_API_KEY=your_provider_api_key

Step 3: spuštění webového dashboardu

xalgorix --web

Otevřete prohlížeč na http://127.0.0.1:9137 a můžete začít.

Funguje i z příkazové řádky

Pro uživatele, kteří nechtějí používat webové UI a jedou hardcore:

xalgorix --target https://example.com

S vlastními instrukcemi:

xalgorix --target https://app.example.com --instruction "Focus on SQL injection, IDOR, and auth bypass. Avoid destructive tests."

Takové instrukce v přirozeném jazyce se předají rovnou agentovi, který pak postupuje podle zadané strategie.

Service Mode: běh jako systémová služba

Ilustrace

Pokud potřebujete 7×24 hromadné skenování:

sudo xalgorix --start
sudo xalgorix --restart
sudo xalgorix --stop
sudo xalgorix --uninstall

journalctl -u xalgorix -f

Chcete vzdálený přístup z prohlížeče? Nejprve musíte zapnout autentizaci dashboardu:

sudo tee -a /root/.xalgorix.env >/dev/null <<EOF
XALGORIX_BIND=0.0.0.0
XALGORIX_USERNAME=admin
XALGORIX_PASSWORD=change-this
EOF

sudo xalgorix --restart

Pozor: bez nakonfigurované autentizace server externí binding rovnou odmítne. Tahle bezpečná výchozí volba si zaslouží autorovi pochvalu.

Ekosystém integrací

Xalgorix není osamělý ostrov:

  • AgentMail: jednorázové e-mailové schránky pro testování, ověřování doručení e-mailů, OTP toky a události spouštěné e-mailem
  • Discord Webhook: notifikace o kritických zranitelnostech v reálném čase s nastavitelným prahem minimální závažnosti

Ukázka konfigurace Discordu:

XALGORIX_DISCORD_WEBHOOK=https://discord.com/api/webhooks/...
XALGORIX_DISCORD_MIN_SEVERITY=high

Tím pádem budete upozorněni pouze na nálezy úrovně high a vyšší, aby vás nezavalila nízkoriziková smetí.

Reportování: PDF, které můžete poslat rovnou klientovi

U spousty open-source nástrojů je reportování spíš vtip – buď dostanete holý JSON, nebo nouzový Markdown, což se prostě nedá předat klientovi.

Reportovací modul Xalgorix je ale odvedená poctivá práce:

  • Summary: exekutivní shrnutí, metadata cíle, metadata skenu, přehled úrovní závažnosti
  • Findings: ověřené nálezy, CVSS detaily, technická analýza, důkaz zneužití
  • Evidence: PoC příkazy, skripty, payloady a podpůrná pozorování
  • Remediation: pokyny k nápravě, stanovení priorit
  • Branding: název firmy, logo (můžete nahrát vlastní)

Po skenu vám vypadne PDF report s logem vaší firmy, který lze rovnou předat. Přesně taková funkce, jakou ocení bezpečnostní konzultanti, SRC týmy a poskytovatelé pentest služeb.

Návrh bezpečného runtime

Ilustrace

Xalgorix myslel i na to, aby „sám neskončil jako oběť”:

  • Ve výchozím stavu binduje pouze na loopback(127.0.0.1) a externí přístup vyžaduje explicitně zapnutou autentizaci
  • Politika cest: zápis do souborového systému je povolen pouze do data_dir, ~/.xalgorix/ a /tmp, vše ostatní se odmítne
  • Limity instancí s ohledem na zdroje: zabrání, aby příliš mnoho skenů na jednom stroji vyčerpalo paměť
  • Hard timeout watchdog pro každý nástroj: zaseknuté podprocesy jsou tvrdě ukončeny
  • Admission control pro souběh: skeny nad stanovený limit jsou odmítnuty, úlohy se bezhlavě nehromadí

Rozhraní GET /api/status navíc zpřístupňuje runtime statistiky: panics_recovered, path_rejections, watchdog_kills, admission_refusals, llm_inflight_cap. Způsob, jakým je pozorovatelnost vestavěná do standardního API, prozrazuje, že autor je inženýr, ne tvůrce PoC.

Zpětně nekompatibilní změny ve verzi v4.4.18

Pozor při aktualizaci:Výstupy skenů, poznámky, plánování a další generovaná data se nyní ukládají jednotně do ~/.xalgorix/data/ namísto adresáře, ze kterého se spouští binárka.

Chcete-li zachovat původní chování:

export XALGORIX_DATA_DIR=$(pwd)

Pokud při startu narazí v $CWD na staré soubory notes.json, _schedules/ nebo vulnerabilities.json, vypíše varování [MIGRATION] – Xalgorix ale tyto staré soubory automaticky nečte, nekopíruje ani nemaže. Pouze vás upozorní, že máte migrovat, a nedělá si s daty, co se mu zlíbí – tahle zdrženlivost uklidňuje.

Pro koho je určen

Red team / penetrační testeři: metodika o 22 fázích + automatizace + instrukce v přirozeném jazyce vás osvobodí od rutiny a uvolní ruce pro manuální lovění děr a hloubkovou analýzu.

Lovci bug bounty: kombinace hromadného skenování a
zástupných cílů, automatického objevování attack surface a Discord notifikací o kritických nálezech v reálném čase. Nechte AI vydělávat odměny, zatímco spíte.

SRC týmy / blue team: pravidelně si projíždějte vlastní kontrolu a mějte přehled o attack surface firemních aktiv. PDF report s vaším brandingem pak můžete rovnou předložit vedení.

Bezpečnostní konzultace: zapněte Service Mode, skenujte klienty odděleně a dodávejte reporty v jejich vizuální identitě.

Studenti / výzkumníci: metodika o 22 fázích je sama o sobě živou učebnicí penetračního testování – open source, čitelná a upravitelná.

Proč tento projekt stojí za pozornost

Ilustrace

V roce 2026 existuje celá řada AI pentest nástrojů, ale jen málo z nich dotahuje „plně uzavřený cyklus” jako Xalgorix:

  • není to agent bez UI (mnoho AI pentest nástrojů má jen příkazovou řádku)
  • není to UI bez metodiky (jiné zase jen nakupují tlačítka)
  • není svázané s jedním modelem (podporuje jakékoli OpenAI kompatibilní rozhraní, včetně čínského MiniMax)
  • nedává polotovary (PDF reporty mají branding a lze je rovnou předat)
  • neběží bez bezpečnostního návrhu (loopback jako výchozí stav, politika cest, watchdog, concurrency control – to všechno je součástí)

Dotáhnout celý tenhle balík – „mozek AI agenta + automatizaci prohlížeče + toolchain + metodiku o 22 fázích + webové UI + systém reportů” – je rozsah práce, který je v open-source komunitě skutečně vzácný.

Upozornění k bezpečnému používání

Na závěr je nutné zdůraznit oficiální slova autorů:

"Use Xalgorix only on systems you own or have explicit permission to test."

Xalgorix používejte pouze na systémech, které vlastníte nebo k jejichž testování máte výslovné oprávnění.

Síla AI pentest nástrojů je dvousečná – efektivně vám pomohou najít zranitelnosti, ale použité na špatném místě představují reálné právní riziko. Záleží na autorizaci, rozsahu i procesu reportování. Případů, kdy někdo kvůli AI nástroji skončil na policii, není zrovna málo – nechtějte se stát další zprávou.

Souhrn

Xalgorix není další AI pentest PoC, ale open-source ukázka toho, jak lze „AI bezpečnostní testování” zinženýřovat a proměnit v produkt.

Pokud se pohybujete v bezpečnosti, ať už na straně útoku nebo obrany, stojí za to si projekt naklonovat a vyzkoušet. Pokud přispíváte do open source, je architektura Go + React + LLM Agent rovněž skvělým studijním materiálem.

Adresu projektu připomínáme ještě jednou:

github.com/xalgord/xalgorix