Dansk

← Tilbage til listen

Penetrationstest-verdenen vendte på hovedet fra den ene dag til den anden! Xalgorix, en AI-angrebsplatform med 22 faser, er open source — kinesiske modeller kan tilsluttes direkte

itadol5j

Forside

Hvad er det mest udmattende ved at arbejde med penetrationstest? Ikke at skrive rapporter, men det gentagne arbejde — rekognoscering, mappebrute-force, test af injektionspunkter, SSRF-validering, CORS-tjek … En standard web-penetration kræver mindst et dusin værktøjer, et par hundrede kommandoer og manuelt at sætte resultaterne sammen.

De senere år har AI-sikkerhedsværktøjer været i hård konkurrence, men de fleste projekter kan enten kun køre en enkelt fase, kun konfigureres med nogle få faste modeller, eller har en UI så dårlig, at man er nødt til at ty til kommandolinjen.

Indtil jeg så Xalgorix — dette projekt opdeler hele penetrationsmetodologien i 22 faser, der kører fuldt automatisk, med web-dashboard, telemetri i realtid og PDF-rapporter,med understøttelse af MiniMax, GPT, Claude, Gemini og enhver OpenAI-kompatibel grænseflade. Open source, skrevet i Go, self-hosted — klar på én kommando: make build.

Projektets adresse: github.com/xalgord/xalgorix

Hvad er Xalgorix egentlig?

Én sætning til at definere det:en self-hostet AI-platform til penetrationstest.

Den kombinerer:

  • en LLM-drevet agent-hjerne
  • browserautomatisering (til DAST og scenarier, der kræver interaktion)
  • et terminalværktøjskæde (almindelige sikkerhedsværktøjer installeres automatisk efter behov)
  • en 22-faset penetrationsmetodologi
  • WebSocket-hændelsesstrømme i realtid
  • et system til håndtering af fund (sårbarheder + CVSS + valideringsstatus)
  • generering af brandede PDF-rapporter
  • integrationer med AgentMail og Discord

Åbn browseren på http://127.0.0.1:9137, og så har du dit «AI-penetrationskommandocenter».

22-faset metodologi: fra rekognoscering til zero-days

Dette er det sted, hvor Xalgorix virkelig imponerede mig — det er ikke den brute tilgang at «smide en URL og lade AI klare resten», men derimod at opdele penetrationstesten i 22 ordnede faser:

  • Fase 1-2: rekognoscering / manuel sårbarhedssøgning
  • Fase 3-4: katalog- og filgennemsøgning / CORS- og cookie-analyse
  • Fase 5-6: autentificerings- og sessionstest / injektionstest (SQL/XSS/Cmd)
  • Fase 7-8: SSRF-test / IDOR-uautoriseret adgang
  • Fase 9-10: API- og GraphQL-test / test af filupload
  • Fase 11-12: deserialisering og RCE / race conditions og forretningslogik
  • Fase 13-14: subdomain takeover / Open Redirect-test
  • Fase 15-16: e-postsikkerhedstest / cloud og infrastruktur
  • Fase 17-18: WebSocket-test / CMS-specifik test
  • Fase 19-20: kapring af døde links / validering af sårbarheder
  • Fase 21-22: zero day-opdagelse / slutrapport

Du kan køre det hele, eller vælge kun at køre bestemte faser i web-UI'en — for eksempel hvis du kun vil teste SSRF og IDOR, så markér blot disse to; det sparer både tid og tokens.

Tre slags scanningsmodi

Illustration
  • Single target: test af en enkelt kendt URL eller vært
  • Wildcard / multi: wildcard-multi-mål, til angrebsfladeopdagelse og batchscanninger
  • DAST: browserassisteret test, specifikt til webapplikationer, autentificeringsflows, formularer og runtime-adfærd

DAST-tilstanden er et højdepunkt — mange AI-penetrationsværktøjer understøtter ikke browserautomatisering og fejler, når de støder på moderne webapplikationer, der kræver login eller SPA-interaktion. Xalgorix har et indbygget browserlag, der kan gennemføre hele loginflows, formularindsendelser og JavaScript-interaktioner.

Tre trin, klar på 60 sekunder

Systemkrav: Linux + Go 1.24.2+.

Trin 1: Klon og byg

git clone https://github.com/xalgord/xalgorix.git
cd xalgorix
make build
sudo install -m 755 build/xalgorix /usr/local/bin/xalgorix

make build kompilerer først React web-UI'en til internal/web/static og derefter Go-binæren.

Trin 2: Konfigurer LLM

Opret ~/.xalgorix.env:

XALGORIX_LLM=minimax/MiniMax-M2.7
XALGORIX_API_KEY=your_provider_api_key

I Kina anbefales MiniMax-M2.7 — høj pris-ydelse og velegnet til kinesisksprogede penetrationsrapporter. Understøtter også OpenAI, tilpassede OpenAI-kompatible grænseflader og Gemini.

OpenAI-konfiguration:

XALGORIX_LLM=openai/gpt-5.4
XALGORIX_API_KEY=sk-...

Tilpasset OpenAI-kompatibel (f.eks. Alibaba Tongyi, Zhipu m.fl.):

XALGORIX_LLM=custom/security-model
XALGORIX_API_BASE=https://your-provider.example/v1
XALGORIX_API_KEY=your_provider_api_key

Trin 3: Start web-dashboardet

xalgorix --web

Åbn browseren på http://127.0.0.1:9137, og gå i gang.

Kommandolinjen kan også bruges

Til hardcore-brugere, der ikke vil bruge web-UI'en:

xalgorix --target https://example.com

Med tilpassede instruktioner:

xalgorix --target https://app.example.com --instruction "Focus on SQL injection, IDOR, and auth bypass. Avoid destructive tests."

Denne slags instruktioner i naturligt sprog sendes direkte til agenten, som kører efter din strategi.

Service Mode: kør som systemtjeneste

Illustration

Har du brug for at køre batchscanninger døgnet rundt (7×24):

sudo xalgorix --start
sudo xalgorix --restart
sudo xalgorix --stop
sudo xalgorix --uninstall

journalctl -u xalgorix -f

Vil du kunne tilgå den eksterne browser? Så skal dashboard-godkendelse først aktiveres:

sudo tee -a /root/.xalgorix.env >/dev/null <<EOF
XALGORIX_BIND=0.0.0.0
XALGORIX_USERNAME=admin
XALGORIX_PASSWORD=change-this
EOF

sudo xalgorix --restart

Bemærk: uden konfigureret godkendelse nægter serveren direkte ekstern binding. Denne sikkerhedsstandard fortjener et klapsalvor til udvikleren.

Integrationsøkosystem

Xalgorix er ingen ø:

  • AgentMail: engangs-e-mails til test, modtagelse af verifikations-e-mails, OTP-flows, e-mailudløste hændelser
  • Discord Webhook: push i realtid om kritiske sårbarheder, med konfigurerbar minimumsalvartsgrænse

Discord-konfigurationseksempel:

XALGORIX_DISCORD_WEBHOOK=https://discord.com/api/webhooks/...
XALGORIX_DISCORD_MIN_SEVERITY=high

Sådan får du kun besked om fund på high-niveau og derover, så du ikke drukner i lavrisikobeskeder.

Rapportfunktion: PDF'er, der kan sendes direkte til kunder

Mange open source-værktøjer har en rapportfunktion, der er en joke — enten ren JSON eller noget forfusket Markdown, som slet ikke kan leveres direkte til en kunde.

Xalgorix' rapportmodul er virkelig gjort med omhu:

  • Summary: executive summary, målmetadata, scanningsmetadata, oversigt over alvorlighedsgrader
  • Findings: verificerede fund, CVSS-detaljer, teknisk analyse, proof of concept
  • Evidence: PoC-kommandoer, scripts, payloads, understøttende observationer
  • Remediation: afhjælpningsvejledning, prioritering
  • Branding: firmanavn, logo (du kan uploade dit eget)

Efter en scanning får du direkte en PDF-rapport med din virksomheds logo, som kan leveres som den er. Det er en funktion skræddersyet til sikkerhedskonsulentbureauer, SRC-teams og penetrationsudbydere.

Sikkert runtimedesign

Illustration

Xalgorix har gjort sig umage med ikke selv at blive hacket:

  • binder som udgangspunkt kun til loopback(127.0.0.1); ekstern eksponering kræver udtrykkeligt aktiveret godkendelse
  • sti-politik: filsystemskrivninger tillades kun til data_dir, ~/.xalgorix/, /tmp; alt andet nægtes
  • ressourcebevidste instansbegrænsninger: forhindrer, at én maskine kører så mange scanninger, at hukommelsen sprænger
  • hård timeout-watchdog pr. værktøj: hængende underprocesser dræbes med tvang
  • adgangskontrol for samtidighed: scanninger over grænsen nægtes — der stables ikke blindt opgaver op

GET /api/status-slutpunktet eksponerer også runtime-statistik: panics_recovered, path_rejections, watchdog_kills, admission_refusals, llm_inflight_cap. At indbygge observabilitet i et standard-API på den måde viser, at udvikleren tilhører ingeniørskolen og ikke PoC-skolen.

De brydende ændringer i v4.4.18

Ved opgradering, bemærk:scanningsoutput, noter, planlægning og andre genererede data gemmes nu samlet i ~/.xalgorix/data/og længere i mappen, hvor binæren blev startet.

Gamle brugere, der vil bevare den gamle adfærd:

export XALGORIX_DATA_DIR=$(pwd)

Hvis der ved opstart i $CWD opdages gamle stimarkører som notes.json, _schedules/, vulnerabilities.json, udsendes en [MIGRATION]-advarsel — men Xalgorix læser, kopierer eller sletter ikke automatiskdisse gamle filer. Den minder dig blot om at migrere og piller ikke ved dine data — den tilbageholdenhed er beroligende.

Hvem egner det sig til?

Rødt team / penetrationstestere: 22-faset metodologi + automatisering + instruktioner i naturligt sprog frigør dig fra det gentagne arbejde, så du kan fokusere på manuel sårbarhedssøgning og dyb analyse.

Bug bounty-jægere: batchscanning af wild
card-mål, automatisk angrebsfladeopdagelse, push i realtid på Discord om kritiske fund. Lad AI tjene bug bounty for dig, mens du sover.

SRC-team / blåt team: kør regelmæssige selvtjek og få et klart billede af virksomhedens aktivers angrebsflade. Brandede PDF-rapporter, der kan præsenteres direkte for chefen.

Sikkerhedskonsulentbureauer: kør i servicetilstand, isolerede scanninger pr. kunde, output af kundebrandede rapporter.

Studerende / forskere: selve den 22-fasede metodologi er en levende penetrationslærebog — open source, læsbar og modificerbar.

Hvorfor dette projekt er værd at følge

Illustration

I 2026 findes der ikke få AI-penetrationsværktøjer, men der er ikke mange, der opnår den «fulde lukkede kreds», som Xalgorix har:

  • ikke kun agent uden UI (mange AI-penetrationsværktøjer har kun kommandolinje)
  • ikke kun UI uden metodologi (mange er blot bunker af knapper)
  • ikke bundet til en enkelt model (understøtter enhver OpenAI-kompatibel grænseflade, herunder den kinesiske MiniMax)
  • ikke halvfærdigt output (PDF-rapporter med branding, der kan leveres direkte)
  • ikke ubeskyttet drift uden sikkerhedsdesign (loopback som standard, sti-politik, watchdog og samtidighedskontrol er alt sammen med)

At gøre «AI-agent-hjerne + browserautomatisering + værktøjskæde + 22-faset metodologi + web-UI + rapportsystem» færdig i én pakke er en ingeniørpræstation, der er temmelig sjælden i open source-verdenen.

Sikkerhedsadvarsel

Til sidst skal fremhæves en officiel sætning:

Use Xalgorix only on systems you own or have explicit permission to test.

Brug kun Xalgorix på systemer, du selv ejer eller har udtrykkelig tilladelse til at teste.

AI-penetrationsværktøjers kraft er også tveægget — de kan hjælpe dig med effektivt at finde sårbarheder, men brugt de forkerte steder bliver det til reel juridisk risiko. Autorisation, omfang og rapporteringsprocedurer skal tages alvorligt. I disse tider er der ikke mangel på eksempler på folk, der er havnet i problemer på grund af AI-værktøjer — undgå selv at blive en nyhed.

Konklusion

Xalgorix er ikke endnu et AI-penetrations-PoC — det er et open source-eksempel på, hvordan «AI-sikkerhedstest» kan gøres ingeniørmæssigt og produktmodnet.

Uanset om du arbejder med sikkerhed — i angreb eller forsvar — er det værd at klone og prøve. Og hvis du bidrager til open source, er projektets Go + React + LLM-agent-arkitektur også et glimrende studieobjekt.

Projektets adresse én gang til:

github.com/xalgord/xalgorix