Xalgorix: pentesting con IA en 22 fases, 100% open source

¿Qué es lo más agotador del pentesting? No son los informes: es el trabajo repetitivo. Reconocimiento, fuerza bruta de directorios, pruebas de puntos de inyección, verificación de SSRF, comprobaciones de CORS... un pentest web estándar exige correr una docena de herramientas, teclear cientos de comandos y ensamblar los resultados a mano.

En los últimos años las herramientas de seguridad con IA han competido a lo loco, pero la mayoría solo cubre una fase aislada, solo acepta unos pocos modelos fijos o tiene una interfaz tan mala que toca pelear a pura línea de comandos.

Hasta que me topé con Xalgorix: este proyecto trocea toda la metodología de pentesting en 22 fases y las ejecuta de forma automática, con panel web, telemetría en tiempo real e informes PDF, y soporta MiniMax, GPT, Claude, Gemini y cualquier API compatible con OpenAI. Open source, escrito en Go y autoalojado; con un make build despega.

Dirección del proyecto: github.com/xalgord/xalgorix

¿Qué es exactamente Xalgorix?

Definición en una frase: una plataforma autoalojada de pentesting con IA.

Combina:

• Un cerebro de Agent impulsado por un LLM
• Automatización de navegador (para DAST y escenarios que exigen interacción)
• Cadena de herramientas de terminal (instala automáticamente las herramientas de seguridad habituales bajo demanda)
• Una metodología de pentesting de 22 fases
• Flujo de eventos en tiempo real por WebSocket
• Sistema de gestión de hallazgos (vulnerabilidades + CVSS + estado de verificación)
• Generación de informes PDF con marca
• Integraciones con AgentMail y Discord

Abres el navegador en http://127.0.0.1:9137 y ahí tienes tu «centro de mando de pentesting con IA».

Metodología de 22 fases: del reconocimiento a los zero-days

Esto es lo que más me sorprendió de Xalgorix: no es el modo bruto de «tirar una URL y que la IA se las apañe», sino un pentesting troceado en 22 fases ordenadas:

• Fases 1-2: reconocimiento / caza manual de vulnerabilidades
• Fases 3-4: descubrimiento de directorios y archivos / análisis de CORS y cookies
• Fases 5-6: pruebas de sesión y autenticación / pruebas de inyección (SQL/XSS/Cmd)
• Fases 7-8: pruebas de SSRF / acceso no autorizado IDOR
• Fases 9-10: pruebas de API y GraphQL / pruebas de subida de archivos
• Fases 11-12: deserialización y RCE / race conditions y lógica de negocio
• Fases 13-14: toma de subdominios / pruebas de Open Redirect
• Fases 15-16: seguridad de correo / nube e infraestructura
• Fases 17-18: pruebas de WebSocket / pruebas específicas de CMS
• Fases 19-20: secuestro de enlaces rotos / verificación de vulnerabilidades
• Fases 21-22: descubrimiento de zero-days / informe final

Puedes ejecutarlas todas o marcar en la interfaz web solo las fases que te interesen: si solo quieres probar SSRF e IDOR, marcas esas dos y ahorras tiempo y tokens.

Tres modos de escaneo

• Single target: probar una URL o host concreto ya conocido
• Wildcard / multi: varios objetivos con comodines, para descubrir superficie de ataque y escanear por lotes
• DAST: pruebas asistidas por navegador, pensadas para aplicaciones web, flujos de autenticación, formularios y comportamiento en ejecución

El modo DAST es lo más brillante: muchas herramientas de pentesting con IA no soportan automatización de navegador y se pierden ante apps web modernas que exigen login o interacción SPA. Xalgorix trae de serie la capa de navegador y puede completar flujos de login, envíos de formularios e interacciones JavaScript.

Despegue en tres pasos, listo en 60 segundos

Requisitos de entorno: Linux + Go 1.24.2 o superior.

Paso 1: clonar y compilar

git clone https://github.com/xalgord/xalgorix.git
cd xalgorix
make build
sudo install -m 755 build/xalgorix /usr/local/bin/xalgorix

make build compila primero la interfaz web de React en internal/web/static y después el binario de Go.

Paso 2: configurar el LLM

Crea ~/.xalgorix.env:

XALGORIX_LLM=minimax/MiniMax-M2.7
XALGORIX_API_KEY=your_provider_api_key

En China recomiendo MiniMax-M2.7: buena relación calidad-precio y se lleva bien con los informes de pentesting en chino. También soporta OpenAI, APIs propias compatibles con OpenAI y Gemini.

Configuración de OpenAI:

XALGORIX_LLM=openai/gpt-5.4
XALGORIX_API_KEY=sk-...

OpenAI compatible personalizado (por ejemplo Tongyi de Alibaba, Zhipu, etc.):

XALGORIX_LLM=custom/security-model
XALGORIX_API_BASE=https://your-provider.example/v1
XALGORIX_API_KEY=your_provider_api_key

Paso 3: arrancar el panel web

xalgorix --web

Abre el navegador en http://127.0.0.1:9137 y manos a la obra.

También corre por línea de comandos

Para los duros que no quieren interfaz web:

xalgorix --target https://example.com

Con instrucciones personalizadas:

xalgorix --target https://app.example.com --instruction "Focus on SQL injection, IDOR, and auth bypass. Avoid destructive tests."

Ese tipo de instrucciones en lenguaje natural se pasan directas al Agent, que ejecuta la estrategia que le marques.

Service Mode: correrlo como servicio del sistema

¿Necesitas escaneos por lotes 24/7?

sudo xalgorix --start
sudo xalgorix --restart
sudo xalgorix --stop
sudo xalgorix --uninstall

journalctl -u xalgorix -f

¿Quieres acceso remoto al navegador? Antes debes activar la autenticación del dashboard:

sudo tee -a /root/.xalgorix.env >/dev/null <<EOF
XALGORIX_BIND=0.0.0.0
XALGORIX_USERNAME=admin
XALGORIX_PASSWORD=change-this
EOF

sudo xalgorix --restart

Ojo: sin autenticación configurada, el servidor rechaza directamente el bind externo. Ese valor seguro por defecto merece un aplauso para el autor.

Ecosistema de integraciones

Xalgorix no es una isla:

• AgentMail: correos desechables para pruebas, recepción de correos de verificación, flujos OTP, eventos disparados por correo
• Webhook de Discord: push en tiempo real de vulnerabilidades graves, con umbral mínimo de severidad configurable

Ejemplo de configuración de Discord:

XALGORIX_DISCORD_WEBHOOK=https://discord.com/api/webhooks/...
XALGORIX_DISCORD_MIN_SEVERITY=high

Así solo se te notifican los hallazgos de severidad high o superior, y no te ahogan los avisos menores.

Informes: PDFs que puedes entregar al cliente tal cual

En muchas herramientas open source los informes son de risa: o JSON puro, o un Markdown que apaña, nada entregable directamente a un cliente.

El módulo de informes de Xalgorix sí está trabajado:

• Summary: resumen ejecutivo, metadatos del objetivo, metadatos del escaneo y vista general de severidades
• Findings: hallazgos verificados, detalle de CVSS, análisis técnico y prueba de explotación
• Evidence: comandos PoC, scripts, payloads y observaciones que respaldan
• Remediation: guías de corrección y priorización
• Branding: nombre de empresa y logo (puedes subir el tuyo)

Terminas un escaneo y sales con un PDF con el logo de tu empresa, listo para entregar. Es la función pensada para consultoras de seguridad, equipos SRC y proveedores de pentesting.

Diseño de runtime seguro

Xalgorix también ha dedicado mimo a que a él mismo no lo den de palos:

• Por defecto solo se liga a loopback (127.0.0.1); para exponerlo al exterior hay que activar la autenticación explícitamente
• Política de rutas: la escritura al sistema de archivos solo se permite en data_dir, ~/.xalgorix/ y /tmp; todo lo demás se rechaza
• Límite de instancias consciente de los recursos: evita fundir la memoria de una máquina con demasiados escaneos a la vez
• Watchdog con timeout duro por herramienta: los subprocesos colgados se matan a la fuerza
• Control de admisión de concurrencia: los escaneos por encima del límite se rechazan; no se acumulan tareas sin criterio

El endpoint GET /api/status expone además estadísticas del runtime: panics_recovered, path_rejections, watchdog_kills, admission_refusals, llm_inflight_cap. Meter la observabilidad en una API estándar delata a un autor de ingeniería, no de PoC.

Los cambios con ruptura de la v4.4.18

Aviso al actualizar:La salida de los escaneos, las notas, la programación y el resto de datos generados se guardan ahora unificados en ~/.xalgorix/data/, ya no en el directorio donde arranca el binario.

Los usuarios antiguos que quieran conservar el comportamiento previo:

export XALGORIX_DATA_DIR=$(pwd)

Si al arrancar detecta en $CWD marcas antiguas como notes.json, _schedules/ o vulnerabilities.json, muestra un aviso [MIGRATION]; pero Xalgorix no lee, copia ni borra automáticamenteesos archivos antiguos. Solo te recuerda migrar, sin tocar tus datos: ese autocontrol da tranquilidad.

¿Para quién es?

Equipos rojos / ingenieros de pentesting: metodología de 22 fases + automatización + instrucciones en lenguaje natural te liberan del trabajo repetitivo para centrarte en la caza manual y el análisis profundo.

Cazadores de bug bounty: escaneo por lotes de objetivos con ca
racteres comodín, descubrimiento automático de superficie de ataque y push en tiempo real de lo grave por Discord. Duerme y deja que la IA gane recompensas por ti.

Equipos SRC / equipos azules: autoescaneos periódicos para tener clara la superficie de ataque de los activos corporativos, con PDF de marca para reportar al jefe.

Consultoras de seguridad: modo servicio, escaneos aislados por cliente e informes con la marca de cada cliente.

Estudiantes / investigadores: la metodología de 22 fases es en sí un manual de pentesting vivo, open source, legible y modificable.

Por qué merece la pena seguir este proyecto

En 2026 no faltan herramientas de pentesting con IA, pero pocas logran el «círculo completo» de Xalgorix:

• No es un Agent sin UI (muchas herramientas de pentesting con IA son pura línea de comandos)
• No es una UI sin metodología (muchas son solo botones apilados)
• No está atada a un solo modelo (soporta cualquier API compatible con OpenAI, incluida la china MiniMax)
• No entrega un producto a medias (PDF con marca, listo para entregar)
• No corre desnuda sin diseño de seguridad (loopback por defecto, política de rutas, watchdog y control de concurrencia, todo incluido)

Completar «cerebro de AI Agent + automatización de navegador + cadena de herramientas + metodología de 22 fases + interfaz web + sistema de informes» es un volumen de ingeniería muy raro en el mundo open source.

Recordatorio de uso responsable

Por último, obligado citar la frase literal del proyecto:

Use Xalgorix only on systems you own or have explicit permission to test.

Usa Xalgorix únicamente en sistemas que te pertenezcan o sobre los que tengas permiso explícito para probar.

La potencia de estas herramientas es un arma de doble filo: te ayuda a encontrar vulnerabilidades con eficiencia, pero usarla donde no toca es un riesgo legal real. Autorización, alcance y proceso de informes hay que respetarlos. Estos años no faltan casos de gente acabada en problemas por herramientas de IA; no seas tú la noticia.

Conclusión

Xalgorix no es otro PoC de pentesting con IA: es una muestra open source de cómo convertir «las pruebas de seguridad con IA» en ingeniería y producto.

Si trabajas en seguridad, atacando o defendiendo, merece que lo clones y lo pruebes. Si contribuyes al open source, su arquitectura de Go + React + Agent LLM es también un buen material de estudio.

La dirección del proyecto, otra vez:

github.com/xalgord/xalgorix