Filipino

← Bumalik sa listahan

Ang mga presipitasyon sa pag - iinfilt ay biglang nagbabago! Xalgorix, phase 22, ganap na awtomatiko.

itadol5j

Takpan

Ano ang pinakamahirap na bahagi ng pagsubok sa pagpasok? Hindi ito isang report, ito'y isang dobleng - trabahong reconstruct, mga stack, mga pagsubok sa puntos, beripikasyon ng SSRF, pagsusuri ng CORES Isang pamantayang Web injury ang kumukuha ng di - kukulangin sa isang dosenang kagamitan, binabato ang daan - daang utos, pagkatapos ay pinagsasama - sama ang mga resulta nang manu - mano.

Sa paglipas ng mga taon, nakarolyo na ang mga kagamitang panseguridad ng AI, ngunit karamihan sa mga proyekto ay alinman sa tumatakbo sa mga yugtong isahan, na may ilan lamang nakapirmeng mga modelo, o ang UI ay nabubulok hanggang sa punto kung saan ang utos ay mahirap.

Hanggang sa makita ko ang Xalgorix - sinira ng proyektong ito ang buong permeable method sa 22 yugto, full auto-run, na may Web dashboards, reality-time telemetry, PDF reports.Mga tagapagtaguyod Mini Max, GPT, Claude, Gemini at anumang OpenAI ay tumutugma sa mga interfaceHindi ko alam. Open source, Go write, host, gumawa ng building off.

Proyektong address: Github.com/xalgord/xalgorix

Ano ba ang Xalgorix ng impiyerno?

Pagpapakahulugan sa isang pangungusap:Sarili-hosed AI Injury testing platformHindi ko alam.

Pinagsasama-sama nito:

  • Isang utak ng Ahente na itinutulak ng LLM
  • Browser automation (para sa DAST at interaktibong mga eksena)
  • Terminal tool chain (karaniwang mga kagamitang panseguridad na kusang ikinabit ayon sa kinakailangan)
  • Isang set ng 22 yugto ng di - sinasadyang pagsubok sa pamamaraan
  • Tuloy ang tunay na WebSocket na laro
  • Sistema ng pamamahala ng mga tuklas (facility + CVSS + annitation status)
  • Pag - uulat ng PDF
  • Pagsasama - sama ng AgentMail at ng Di - pagkakasundo

Buksan ang browser para sa http://127.0.0.1:9137 ang iyong "AI Infilm Command Centre."

22 Phase methodolohiya: mula sa muling pagpasok hanggang sa mga araw na sero

Ito ang pinakamaningning na dako sa aking mga mata ng Xalgorix... Hindi ito isang marahas na pattern ng "wala ang isang URL at hayaan ang AI na malaman ito," ngunit ito ay isang 22-stage sequence:

  • Phase 1-2: Muling Paghukay / Manual Hole
  • Phase 3-4: Direktory file na natagpuan / CORS at Cookie analysis
  • Phase 5-6Ritualation session test / injection test (SQL/XSS/Cmd)
  • Phase 7-8:SSRF Nahigitan ang Pagsubok / IDOR
  • Mga Phase 9-10: ATPI at GraphQL test/ file upload test
  • Phases 11-12Ang inverse sequenceization at RCE / kompetensiyang mga kalagayan at lohika sa negosyo
  • Phase 13-14: sub-domain takeover / Open Direct test
  • Phase 15-16Mga pagsubok sa seguridad ng koreo / Ulap at imprastraktura
  • Phase 17-18: WobSocket Test / CMS Espesipikong Pagsubok
  • Phase 19-20Iba Pang Organiser
  • Phase 21-22: Pagtuklas ng sero-araw / huling ulat

Maaari mong patakbuhin ang lahat ng ito, o maaari mong piliin ang isang espesipikong bahagi sa Web UI. - Halimbawa, ito ay para lang sukatin ang SSR at IDOR, pareho lang silang kumuha ng oras, Token.

Tatlong Paraan ng Pagsusuri

Larawan
  • Iisang target: Subukin ang isang kilalang URL o host
  • Ligaw / multi: Marami - raming target na yari sa ligaw na kotse, ang pagsalakay ay napapaharap sa pagdetektekta at pag - ambag sa Sketch
  • ANG DASTBrowser support testing, espesyalisasyon sa mga aplikasyon ng Web, realityation sapa, porma at run-time na pag-uugali

Ang modelong DAST ay isang maliwanag na spot - maraming mga kasangkapang pang-komedya ng AI ang hindi sumusuporta sa browser automation at binubulag ng mga modernong aplikasyong Web na nangangailangan ng interaksiyong login at SPA. Ang Xalgorix ay may patong na kumakain ng damo na lubusang tumatakbo sa prosesong login, bumubuo ng pagsumite, interaksiyong JavaScript.

Tatlong hakbang, 60 segundo.

Mga kahilingang pangkapaligiran: Linux + Go 1.24.2+.

Hakbang 1: Pag - aayos at pagtitipon

git clone https://github.com/xalgord/xalgorix.git
cd xalgorix
make build
sudo install -m 755 build/xalgorix /usr/local/bin/xalgorix

Gumawa ng mga collect na Web UI sa internasyonal/web/statiko at pagkatapos ay sa Go binary.

Hakbang 2: Configure LLM

Gumawa ng ~/.xalgorix.env:

XALGORIX_LLM=minimax/MiniMax-M2.7
XALGORIX_API_KEY=your_provider_api_key

Inirerekomenda na ang MiniMax-M2.7 ay maging mataas ang halaga at palakaibigan sa mga Tsinong injury report. Sinusuporta rin nito ang OpenAI, kaugaliang OpenAI confirm interface, Gemini.

Pagsasaayos ng OpenAI:

XALGORIX_LLM=openai/gpt-5.4
XALGORIX_API_KEY=sk-...

Kaugaliang OpenAI Compability (hal.g., Alitsu, Intelligence):

XALGORIX_LLM=custom/security-model
XALGORIX_API_BASE=https://your-provider.example/v1
XALGORIX_API_KEY=your_provider_api_key

Hakbang 3: Magsimula ng Web meter Board

xalgorix --web

Open browser para sa http://127.0.1:9137, tuyo.

Maaaring tumakbo ang mga orden.

Iba Pang Organiser

xalgorix --target https://example.com

na may utos ng kaugalian:

xalgorix --target https://app.example.com --instruction "Focus on SQL injection, IDOR, and auth bypass. Avoid destructive tests."

Ang likas na wikang ito ay tuwirang itinuturo sa Agent, at tumatakbo ito na gaya ng sinabi mo.

Paglilingkod Mode: Pagtakbo sa mga serbisyo ng sistema

Larawan

Kailangan ang 7x24 running file scanning:

sudo xalgorix --start
sudo xalgorix --restart
sudo xalgorix --stop
sudo xalgorix --uninstall

journalctl -u xalgorix -f

Gusto mo bang makapasok sa liblib na browser? Iba Pang Organiser

sudo tee -a /root/.xalgorix.env >/dev/null <<EOF
XALGORIX_BIND=0.0.0.0
XALGORIX_USERNAME=admin
XALGORIX_PASSWORD=change-this
EOF

sudo xalgorix --restart

Atensiyon.: Sa kawalan ng pagiging totoo, tuwirang tinatanggihan ng server ang panlabas na bisa. Ang hindi pagtupad na ito sa seguridad ay isang papuri sa awtor.

Nakalilitong ekolohiya

Ang Xalgorix ay hindi isang isla:

  • AgentMailPagsubok sa mga one-off mailbox, pagtitiyak ng pagtanggap ng koreo, OTP proseso, mail trigger na pangyayari
  • Discord Webhook.: mataas-risk loophole na ipinapadala sa tunay na panahon, na may hindi bababa sa seryosong pagsisimula ay nagtakda ng Halaga

Halimbawa ng Pagkakasundo:

XALGORIX_DISCORD_WEBHOOK=https://discord.com/api/webhooks/...
XALGORIX_DISCORD_MIN_SEVERITY=high

Ito'y kapag nakakita ka lamang ng isang bagay na mataas at mataas sa itaas, kaya hindi ka malilipos ng mababang-level na impormasyon.

Tungkulin ng pag - uulat: PDF upang tuwirang ipadala ang mga kliyente

Maraming mga kasangkapang open-source ay isang biro - alinman sa purong JSON, o Markdown, at hindi tuwirang makapaghahatid ng mga kliyente.

Ang report ni Xalgorix module ay talagang gumagana:

  • Tag - araw.: Executive buod, target metadata, sinuring metadata, kritikal na paglalarawan sa antas
  • Windows: Natiyak na mga tuklas, mga detalye ng CVSS, teknikal na pagsusuri, patotoo ng paggamit
  • Ebidensiya: POC command, script, payload, sumusuportang pagmamasid
  • Paggaling: Patnubay sa pagsasauli, preitasyon
  • Pagtapat.: Pangalan ng Kompanya, Logo.

Mag - scan at kumuha ng report ng PDF para sa iyong kompanyang Logo, na maaaring ihatid nang tuwiran. Ito ang tungkulin ng paghahanda ng mga kompanyang sumasangguni sa seguridad, mga koponan ng SRC, mga conductive service provider.

Ligtas na disenyo ng oras

Larawan

Ang Xalgorix ay gumugol ng ilang panahon sa pag-iisip na "Huwag maging sikat":

  • Ang pag - aalis ay nagtatali lamang ng loopback(127.0.0.1) Ang nakikitang pagiging totoo ay kailangan para sa panlabas na pagkalantad
  • Patakaran ng Landas: ang mga filesystem ay nagsusulat lamang ng data dir, ~/.xalgorix/, /tmp, lahat ng iba pang tinanggihan
  • Mga halimbawa ng mga limitasyon sa pag - unawa sa likas na yaman: Iwasan ang isang makina na tumatakbo nang labis - labis sa nasuring memorya
  • Ang bawat kasangkapan ay may mahirap na panahon sa pagbabantay sa aso.: Ang calculus ay matinding papatayin
  • Pinagsamang kontrol sa pag-akses: Ang mga buwaya na mas mataas sa hangganan ay tatanggihan nang walang mga gawaing walang utak

Ang NT /api/status interface ay naglalantad din ng running time statistics: panics nakuhang muli, mga pagtanggi sa landas, mga pagpatay sa bantay, mga pagtanggi sa pag-amin,llm infolight cap. Ang ideya ng pagsusulat ng observable sa pamantayang API ay nagpapakita na ang may akda ay isang inhenyeriya, hindi isang PoC.

V4.4.18 Ang mapangwasak na pagbabagong ito

Pagtataguyod ng atensiyon:Ang scan output, nota, iskedyul, iba pang mga impormasyong gawa ay sentral na nakaimbak ngayon sa ~/.xalgorix/data/, wala sa binary simulaup directory.

Nais panatilihin ng mga may edad na ang kanilang paggawi:

export XALGORIX_DATA_DIR=$(pwd)

[MIGRATION] Babala - ngunit Xalgorix Huwag kusang basahin, kopyahin, i - deleteAng mga lumang file na ito. Upang paalalahanan ka lamang na lumipat, hindi upang guluhin ang impormasyon, na nakapagpapatibay.

Para kanino?

Pulang koponan / Infiction Test Makina:22 Phase Methodology + Automation + Natural Language Command, na maaaring magpalaya sa iyo mula sa paulit-ulit na gawa at magtuon ng pansin sa manu-manong paghuhukay at malalim na pagsusuri.

Bug Bounty, Hunter.: Nag - scan si Batch
Beacon targets, auto-detection face, Discord tulak mataas na panganib sa tunay na panahon. Kumuha ng AI upang tulungan kang matamo ang gantimpala habang ikaw ay natutulog.

SRC Team / Blue Team: Regular na self-censorship upang linawin ang mukha ng pag-atake sa mga pag-aari ng negosyo. Ang mga naturang ulat ng PDF ay direktang nag-uulat sa boss.

Kumokonsultang kompanya para sa seguridad: Serbisyo start-up model, multi-client inscripted, output ng client brand reports.

Estudyante/ Mga mananaliksik22 Ang phase methodology mismo ay isang nabubuhay na aklat-aralin na bukas, madaling basahin at madaling makibagay.

Bakit nakababahala ang proyektong ito?

Larawan

Noong 2026, ang AI ay may ilang pagsubok, subalit iilan lamang sa mga ito ang makagagawa ng Xalgorix, isang kumpletong saradong singsing:

  • Hindi lamang Ahente, hindi UI.
  • Hindi lang UI. Walang pamamaraan.
  • Wala ni isang modelo.
  • Hindi kalahating produkto.
  • Hindi hubad kung walang disenyong panseguridad.

Kumpleto ang "AI Agent Brain + Browser Automation + Tool Chain + 22 Phase Methodology + Web UI + Experiment System", na bihira sa mga open source circle.

Maging maingat sa paggamit ng alarma

Sa wakas, mahalagang idiin ang opisyal na pangungusap:

Minsan Xalgorix lamang sa mga sistemang pag-aari mo o mayroon kang eksklusibong katayuan upang subukin.

Ang Xalgorix ay ginagamit lamang sa mga sistemang pag - aari mo o may espesipikong pahintulot na subukin.

Ang kasangkapang pampapasok ng AI ay isa ring tabak na may dalawang-edged - maaari rin itong makakita ng mga butas, ngunit ang paggamit ng maling lugar ay isang tunay na legal na panganib. Ang pag - aatas ng awtoridad, saklaw at proseso ng pag - uulat ay kailangang bigyang - pansin. Karaniwan na sa mga panahong ito para sa isang kasangkapan ng AI na sumali sa laro, hindi para sa iyong sarili.

Sumaryo

Ang Xalgorix ay hindi isa pang pagpasok ng AI ng PoC, kundi isang bukas na pinagkukunang sampol ng inhenyeriya at produksyon ng "AI Safety Test".

Kung ikaw ang gagawa ng negosyong panseguridad, ikaw man ay sumasalakay o ikaw ay nakikipag - away, sulit na subukin mo ito. Kung ikaw ay gagawa ng bukas na source source, ang Go + recessitive +LM Isang mainam na halimbawa ng pagkatuto ang kayariang Agent ng proyektong ito.

Muling nakapaskil ang adres ng proyekto:

Gythub.com/xalgord/xalgorix