Deutsch

← Zurück zur Liste

Die Pentesting-Szene über Nacht auf den Kopf gestellt! Xalgorix: vollautomatische AI-Angriffsplattform mit 22 Phasen als Open Source – chinesische Modelle direkt anschließbar

itadol5j

Coverbild

Was ist im Pentesting am anstrengendsten? Nicht das Berichteschreiben, sondern die Wiederholungsarbeit – Reconnaissance, Verzeichnis-Bruteforcing, Injektionstests, SSRF-Verifikation, CORS-Prüfungen … Ein üblicher Web-Pentest braucht mindestens ein Dutzend Tools und einige hundert getippte Befehle, ehe man die Ergebnisse von Hand zusammensetzt.

In den letzten Jahren brodelte die AI-Security-Tool-Szene, aber die meisten Projekte können entweder nur eine einzelne Phase abdecken, sind nur mit ein paar festen Modellen kompatibel oder haben eine so miserable UI, dass nur die Kommandozeile bleibt.

Bis ich Xalgorix sah – dieses Projekt zerlegt die gesamte Pentest-Methodik in 22 Phasen, läuft vollautomatisch, mit Web-Dashboard, Echtzeit-Telemetrie und PDF-Berichten, unterstützt MiniMax, GPT, Claude, Gemini und jede OpenAI-kompatible Schnittstelle. Open Source, in Go geschrieben, self-hosted – mit einem einzigen make build geht’s los.

Projektadresse: github.com/xalgord/xalgorix

Was ist Xalgorix eigentlich?

Die Definition in einem Satz:Eine self-hosted AI-Pentesting-Plattform.

Sie vereint:

  • einen von einem LLM angetriebenen Agenten-Kopf
  • Browser-Automatisierung (für DAST und Szenarien, die Interaktion brauchen)
  • eine Terminal-Toolchain (installiert gängige Security-Tools bei Bedarf automatisch)
  • eine Pentest-Methodik mit 22 Phasen
  • einen Echtzeit-Ereignisstrom über WebSocket
  • ein Findings-Management-System (Schwachstellen + CVSS + Verifikationsstatus)
  • Generierung markenbezogener PDF-Berichte
  • AgentMail- und Discord-Integration

Browser öffnen, http://127.0.0.1:9137 aufrufen – und du sitzt in deinem „AI-Pentest-Kommandozentrum“.

Die 22-Phasen-Methodik: Von Recon bis Zero-Day

Das ist der Punkt, der mich bei Xalgorix am meisten beeindruckt hat – hier wird nicht der grobe Weg genommen, „eine URL hinschmeißen und die AI machen lassen“, sondern der Pentest in 22 geordnete Phasen zerlegt:

  • Phase 1-2: Reconnaissance / manuelle Schwachstellensuche
  • Phase 3-4: Verzeichnis- und Datei-Discovery / CORS- und Cookie-Analyse
  • Phase 5-6: Authentifizierungs- und Sitzungstests / Injektionstests (SQL/XSS/Cmd)
  • Phase 7-8: SSRF-Tests / IDOR-Unberechtigter Zugriff
  • Phase 9-10: API- und GraphQL-Tests / File-Upload-Tests
  • Phase 11-12: Deserialisierung und RCE / Race Conditions und Geschäftslogik
  • Phase 13-14: Subdomain-Takeover / Open-Redirect-Tests
  • Phase 15-16: E-Mail-Sicherheitstests / Cloud und Infrastruktur
  • Phase 17-18: WebSocket-Tests / CMS-Spezialtests
  • Phase 19-20: Broken-Link-Hijacking / Schwachstellenverifikation
  • Phase 21-22: Zero-Day-Erkennung / Abschlussbericht

Du kannst alles laufen lassen oder im Web-UI nur bestimmte Phasen ankreuzen – willst du zum Beispiel nur SSRF und IDOR testen, genügen diese zwei Häkchen. Spart Zeit und Tokens.

Drei Scan-Modi

Abbildung
  • Single target: Test eines einzelnen, bekannten URL oder Hosts
  • Wildcard / multi: Wildcard-Multi-Target für Angriffsflächen-Entdeckung und Massenscans
  • DAST: Browsergestützte Tests, speziell für Web-Apps, Authentifizierungsabläufe, Formulare und Laufzeitverhalten

Der DAST-Modus ist das Highlight – viele AI-Pentesting-Tools unterstützen keine Browser-Automatisierung und stoßen bei modernen Web-Apps, die Login oder SPA-Interaktion brauchen, an ihre Grenzen. Xalgorix bringt die Browser-Schicht direkt mit und schafft komplette Login-Flows, Formularübermittlungen und JavaScript-Interaktion.

In drei Schritten in 60 Sekunden startklar

Voraussetzungen: Linux + Go 1.24.2+.

Schritt 1: Klonen und Kompilieren

git clone https://github.com/xalgord/xalgorix.git
cd xalgorix
make build
sudo install -m 755 build/xalgorix /usr/local/bin/xalgorix

make build kompiliert zuerst die React-Web-UI nach internal/web/static und dann die Go-Binary.

Schritt 2: LLM konfigurieren

~/.xalgorix.env anlegen:

XALGORIX_LLM=minimax/MiniMax-M2.7
XALGORIX_API_KEY=your_provider_api_key

Für Nutzer in China ist MiniMax-M2.7 zu empfehlen – gutes Preis-Leistungs-Verhältnis und freundlich zu chinesischen Pentest-Berichten. Auch OpenAI, benutzerdefinierte OpenAI-kompatible Schnittstellen und Gemini werden unterstützt.

OpenAI-Konfiguration:

XALGORIX_LLM=openai/gpt-5.4
XALGORIX_API_KEY=sk-...

Benutzerdefinierte OpenAI-kompatible Endpunkte (zum Beispiel Alibaba Tongyi, Zhipu und andere):

XALGORIX_LLM=custom/security-model
XALGORIX_API_BASE=https://your-provider.example/v1
XALGORIX_API_KEY=your_provider_api_key

Schritt 3: Web-Dashboard starten

xalgorix --web

Browser öffnen, http://127.0.0.1:9137 aufrufen – und los geht’s.

Auch per Kommandozeile ausführbar

Für Hardcore-Nutzer ohne Web-UI:

xalgorix --target https://example.com

Mit benutzerdefinierten Anweisungen:

xalgorix --target https://app.example.com --instruction "Focus on SQL injection, IDOR, and auth bypass. Avoid destructive tests."

Solche Anweisungen in natürlicher Sprache werden direkt an den Agenten verfüttert, der nach deiner Strategie vorgeht.

Service Mode: Als Systemdienst laufen

Abbildung

Wer 7×24 Massenscans laufen lassen will:

sudo xalgorix --start
sudo xalgorix --restart
sudo xalgorix --stop
sudo xalgorix --uninstall

journalctl -u xalgorix -f

Fernzugriff auf den Browser gewünscht? Zuerst muss die Dashboard-Authentifizierung aktiviert werden:

sudo tee -a /root/.xalgorix.env >/dev/null <<EOF
XALGORIX_BIND=0.0.0.0
XALGORIX_USERNAME=admin
XALGORIX_PASSWORD=change-this
EOF

sudo xalgorix --restart

Achtung: Ohne konfigurierte Authentifizierung verweigert der Server externe Bindungen schlicht. Solche sicheren Defaults verdienen einen Daumen nach oben für den Autor.

Integrations-Ökosystem

Xalgorix ist keine Insel:

  • AgentMail: Wegwerf-E-Mail-Adressen für Tests, Empfang von Verifizierungs-E-Mails, OTP-Abläufe, ereignisgesteuerte E-Mails
  • Discord-Webhook: Echtzeit-Push kritischer Schwachstellen, mit einstellbarer Mindest-Schweregrad-Schwelle

Discord-Konfigurationsbeispiel:

XALGORIX_DISCORD_WEBHOOK=https://discord.com/api/webhooks/...
XALGORIX_DISCORD_MIN_SEVERITY=high

So wirst du nur bei Findings ab „high“ benachrichtigt und ertrinkst nicht in Low-Severity-Meldungen.

Berichtsfunktion: Ein PDF, das du direkt dem Kunden schicken kannst

Bei vielen Open-Source-Tools ist die Berichtsfunktion ein Witz – entweder reines JSON oder ein notdürftiger Markdown-Haufen, keinesfalls kundentauglich.

Am Berichtsmodul von Xalgorix wurde wirklich gearbeitet:

  • Summary: Executive Summary, Ziel-Metadaten, Scan-Metadaten, Übersicht der Schweregrade
  • Findings: verifizierte Findings, CVSS-Details, technische Analyse, Exploit-Nachweise
  • Evidence: PoC-Befehle, Skripte, Payloads, unterstützende Beobachtungen
  • Remediation: Behebungsleitfaden, Priorisierung
  • Branding: Firmenname, Logo (eigenes kann hochgeladen werden)

Nach einem Scan kommt direkt ein PDF-Bericht mit deinem Firmen-Logo heraus – sofort lieferbar. Genau das ist die Funktion für Security-Beratungen, SRC-Teams und Pentesting-Dienstleister.

Sicherheitsorientiertes Laufzeitdesign

Abbildung

Bei der Frage „wie sorge ich dafür, dass Xalgorix selbst nicht kompromittiert wird“ hat sich der Autor Gedanken gemacht:

  • Standardmäßig nur an loopback gebunden (127.0.0.1); externe Erreichbarkeit erfordert ausdrücklich aktivierte Authentifizierung
  • Pfad-Richtlinien: Schreibzugriffe aufs Dateisystem sind nur auf data_dir, ~/.xalgorix/ und /tmp erlaubt – alles andere wird verweigert
  • Ressourcenbewusste Instanzgrenzen: verhindern, dass zu viele Scans auf einer Maschine den Speicher sprengen
  • Harte Watchdog-Timeouts pro Tool: hängengebliebene Unterprozesse werden gewaltsam beendet
  • Admission Control für Parallelität: Scans oberhalb der Obergrenze werden abgelehnt, statt blind Aufgaben zu stapeln

Der GET /api/status-Endpunkt legt zudem Laufzeitstatistiken offen: panics_recovered, path_rejections, watchdog_kills, admission_refusals, llm_inflight_cap. Solch eine Observability in der Standard-API zeigt: Der Autor ist ein Engineering-Typ, kein PoC-Typ.

Die Breaking Changes in v4.4.18

Beim Upgrade beachten:Scan-Ausgaben, Notizen, Zeitpläne und andere generierte Daten liegen jetzt einheitlich unter ~/.xalgorix/data/, nicht mehr im Startverzeichnis der Binary.

Wer das alte Verhalten behalten will:

export XALGORIX_DATA_DIR=$(pwd)

Findet der Start in $CWD alte Pfadmarker wie notes.json, _schedules/ oder vulnerabilities.json, gibt es eine [MIGRATION]-Warnung – aber Xalgorix liest, kopiert oder löscht diese alten Dateien nicht automatisch. Es erinnert nur an die Migration, fasst die Daten aber nicht unkontrolliert an – diese Zurückhaltung beruhigt.

Für wen ist das geeignet?

Red Teams / Pentesting-Ingenieure: Die 22-Phasen-Methodik plus Automatisierung plus Anweisungen in natürlicher Sprache befreien dich aus der Wiederholungsarbeit, damit du dich auf manuelles Bug Hunting und tiefe Analyse konzentrieren kannst.

Bug-Bounty-Jäger: Massenscans von Wild
card-Zielen, automatische Angriffsflächen-Erkennung und Echtzeit-Push kritischer Findings über Discord. Lass die AI im Schlaf deine Bounty verdienen.

SRC-Teams / Blue Teams: Regelmäßige Selbstscans, um die Angriffsfläche der Unternehmens-Assets im Blick zu behalten. Der PDF-Bericht mit eigenem Branding geht direkt an die Chefs.

Security-Beratungsfirmen: Service-Modus aktivieren, Scans pro Kunde isolieren, Berichte im Kundenbranding ausgeben.

Studierende / Forschende: Die 22-Phasen-Methodik ist bereits ein lebendes Pentesting-Lehrbuch – Open Source, lesbar, veränderbar.

Warum dieses Projekt Beachtung verdient

Abbildung

2026 gibt es nicht wenige AI-Pentesting-Tools, aber wenige schaffen Xalgorix’ „geschlossenen Regelkreis“:

  • nicht nur Agent ohne UI (viele AI-Pentesting-Tools sind reine Kommandozeile)
  • nicht nur UI ohne Methodik (viele sind nur Knopfsammlungen)
  • nicht an ein einzelnes Modell gefesselt (unterstützt jede OpenAI-kompatible Schnittstelle, inklusive des chinesischen MiniMax)
  • keine Halbfertig-Ausgaben (PDF-Berichte mit Branding, direkt lieferbar)
  • nicht ungesichert im Betrieb (standardmäßig loopback, Pfad-Richtlinien, Watchdog, Parallelitätskontrolle – alles vorhanden)

Das komplette Paket aus „AI-Agent-Kopf + Browser-Automatisierung + Toolchain + 22-Phasen-Methodik + Web-UI + Berichtssystem“ zu bauen, ist in der Open-Source-Welt eine seltene Ingenieursleistung.

Sicherheitshinweis

Zum Schluss muss das offizielle Originalzitat betont werden:

Use Xalgorix only on systems you own or have explicit permission to test.

Nutze Xalgorix nur auf Systemen, die dir gehören oder für die du eine ausdrückliche Testgenehmigung hast.

Die Macht der AI-Pentesting-Tools ist ein zweischneidiges Schwert – sie hilft dir, effizient Schwachstellen zu finden, aber am falschen Ort eingesetzt bedeutet sie ein reales juristisches Risiko. Autorisierung, Umfang und Berichtsprozess müssen sauber geregelt sein. In letzter Zeit gibt es genügend Fälle, in denen Leute mit AI-Tools in Schwierigkeiten gerieten – sei nicht die nächste Schlagzeile.

Fazit

Xalgorix ist nicht das nächste AI-Pentesting-PoC, sondern ein Open-Source-Beispiel dafür, wie man „AI-Sicherheitstests“ zu einem echten Produkt mit Ingenieursqualität macht.

Wenn du in der Sicherheitsbranche arbeitest – ob in Angriff oder Verteidigung – lohnt es sich, das Projekt zu klonen und auszuprobieren. Wer zu Open Source beiträgt, findet in der Go + React + LLM-Agent-Architektur zudem ein schönes Lernbeispiel.

Noch einmal die Projektadresse:

github.com/xalgord/xalgorix