Français

← Retour à la liste

Le monde du pentest a changé du jour au lendemain ! Xalgorix, plateforme d'attaque IA entièrement automatisée en 22 phases, passe en open source — modèles MiniMax compatibles en direct

itadol5j

Couverture

Qu'est-ce qui épuise le plus dans les tests d'intrusion ? Pas la rédaction des rapports, mais le travail répétitif — reconnaissance, énumération de répertoires, tests de points d'injection, vérification SSRF, contrôles CORS… Un test d'intrusion web standard impose de lancer au moins une dizaine d'outils, de taper des centaines de commandes, puis d'assembler les résultats à la main.

Ces dernières années, les outils de sécurité IA ont fleuri à toute vitesse, mais la plupart des projets ne couvrent qu'une seule phase, n'acceptent que quelques modèles figés, ou offrent une UI si médiocre qu'on n'a d'autre choix que la ligne de commande.

Jusqu'à ce que je tombe sur Xalgorix — un projet qui découpe toute la méthodologie de pentest en 22 phases exécutées intégralement en automatique, avec tableau de bord web, télémétrie en temps réel et rapports PDF, et qui prend en charge MiniMax, GPT, Claude, Gemini ainsi que tout endpoint compatible OpenAI. Open source, écrit en Go, auto-hébergé : un simple make build et ça décolle.

Adresse du projet : github.com/xalgord/xalgorix

Xalgorix, c'est quoi au juste ?

En une phrase : une plateforme auto-hébergée de tests d'intrusion pilotés par l'IA.

Elle combine :

  • un cerveau d'Agent propulsé par un LLM
  • l'automatisation du navigateur (pour le DAST et les scénarios qui exigent de l'interaction)
  • une chaîne d'outils terminal (installation automatique à la demande des outils de sécurité courants)
  • une méthodologie de test d'intrusion en 22 phases
  • un flux d'événements WebSocket en temps réel
  • un système de gestion des découvertes (vulnérabilités + CVSS + statut de vérification)
  • la génération de rapports PDF personnalisés à votre marque
  • des intégrations AgentMail et Discord

Ouvrez votre navigateur sur http://127.0.0.1:9137 et voilà votre « centre de commandement de pentest IA ».

La méthodologie en 22 phases : de la reconnaissance au zero-day

C'est ce qui m'a le plus marqué chez Xalgorix — loin du mode grossier qui consiste à « balancer une URL et laisser l'IA se débrouiller », le test d'intrusion y est découpé en 22 phases ordonnées :

  • Phases 1-2 : reconnaissance / recherche manuelle de vulnérabilités
  • Phases 3-4 : découverte de répertoires et fichiers / analyse CORS et Cookies
  • Phases 5-6 : tests de sessions d'authentification / tests d'injection (SQL/XSS/Cmd)
  • Phases 7-8 : tests SSRF / accès non autorisés IDOR
  • Phases 9-10 : tests d'API et GraphQL / tests d'upload de fichiers
  • Phases 11-12 : désérialisation et RCE / conditions de course et logique métier
  • Phases 13-14 : prise de contrôle de sous-domaines / tests d'Open Redirect
  • Phases 15-16 : tests de sécurité des e-mails / cloud et infrastructure
  • Phases 17-18 : tests WebSocket / tests spécifiques CMS
  • Phases 19-20 : détournement de liens morts / vérification des vulnérabilités
  • Phases 21-22 : découverte de zero-days / rapport final

Vous pouvez tout exécuter, ou cocher dans l'UI web uniquement les phases qui vous intéressent — pour tester seulement SSRF et IDOR, cochez ces deux cases : gain de temps et de tokens.

Trois modes de scan

Illustration
  • Single target : tester une URL ou un hôte unique et connu
  • Wildcard / multi : cibles multiples par wildcard, pour la découverte de surface d'attaque et les scans en masse
  • DAST : tests assistés par navigateur, spécialisés dans les applications web, les flux d'authentification, les formulaires et le comportement à l'exécution

Le mode DAST est le point fort — beaucoup d'outils de pentest IA n'ont pas d'automatisation navigateur et restent aveugles face aux applications web modernes qui exigent une connexion ou des interactions SPA. Xalgorix embarque directement la couche navigateur : il enchaîne sans broncher connexions, soumissions de formulaires et interactions JavaScript.

Trois étapes, 60 secondes, et c'est en l'air

Prérequis : Linux + Go 1.24.2 ou supérieur.

Étape 1 : cloner et compiler

git clone https://github.com/xalgord/xalgorix.git
cd xalgorix
make build
sudo install -m 755 build/xalgorix /usr/local/bin/xalgorix

make build compile d'abord l'UI web React vers internal/web/static, puis le binaire Go.

Étape 2 : configurer le LLM

Créez ~/.xalgorix.env :

XALGORIX_LLM=minimax/MiniMax-M2.7
XALGORIX_API_KEY=your_provider_api_key

En Chine, MiniMax-M2.7 est recommandé : excellent rapport qualité-prix et à l'aise avec les rapports de pentest en chinois. OpenAI, tout endpoint personnalisé compatible OpenAI et Gemini sont aussi pris en charge.

Configuration OpenAI :

XALGORIX_LLM=openai/gpt-5.4
XALGORIX_API_KEY=sk-...

Endpoint personnalisé compatible OpenAI (par exemple Qwen d'Alibaba, Zhipu, etc.) :

XALGORIX_LLM=custom/security-model
XALGORIX_API_BASE=https://your-provider.example/v1
XALGORIX_API_KEY=your_provider_api_key

Étape 3 : lancer le tableau de bord web

xalgorix --web

Ouvrez votre navigateur sur http://127.0.0.1:9137, et au travail.

La ligne de commande fonctionne aussi

Pour les inconditionnels du terminal qui boudent l'UI web :

xalgorix --target https://example.com

Avec des instructions personnalisées :

xalgorix --target https://app.example.com --instruction "Focus on SQL injection, IDOR, and auth bypass. Avoid destructive tests."

Ce type d'instruction en langage naturel est donné tel quel à l'Agent, qui applique la stratégie que vous décrivez.

Service Mode : exécuter en service système

Illustration

Pour les scans en série qui doivent tourner 24 h/24, 7 j/7 :

sudo xalgorix --start
sudo xalgorix --restart
sudo xalgorix --stop
sudo xalgorix --uninstall

journalctl -u xalgorix -f

Vous voulez un accès navigateur à distance ? Il faut d'abord activer l'authentification du dashboard :

sudo tee -a /root/.xalgorix.env >/dev/null <<EOF
XALGORIX_BIND=0.0.0.0
XALGORIX_USERNAME=admin
XALGORIX_PASSWORD=change-this
EOF

sudo xalgorix --restart

À noter : sans authentification configurée, le serveur refuse purement et simplement toute liaison externe. Ce choix de sécurité par défaut mérite un applaudissement à l'auteur.

L'écosystème d'intégrations

Xalgorix n'est pas une île :

  • AgentMail : e-mails jetables pour les tests, réception d'e-mails de vérification, flux OTP, événements déclenchés par e-mail
  • Discord Webhook : notification en temps réel des vulnérabilités critiques, avec seuil de gravité minimale paramétrable

Exemple de configuration Discord :

XALGORIX_DISCORD_WEBHOOK=https://discord.com/api/webhooks/...
XALGORIX_DISCORD_MIN_SEVERITY=high

Ainsi, seules les découvertes de gravité high ou supérieure vous sont notifiées — pas de noyade sous les alertes bénignes.

Les rapports : des PDF prêts à envoyer au client

Chez beaucoup d'outils open source, la génération de rapports est une plaisanterie — du JSON brut ou du Markdown bricolé, impossible à livrer tel quel à un client.

Le module de rapports de Xalgorix, lui, a reçu un vrai travail :

  • Summary : résumé exécutif, métadonnées de la cible et du scan, vue d'ensemble des niveaux de gravité
  • Findings : découvertes vérifiées, détails CVSS, analyse technique, preuves d'exploitation
  • Evidence : commandes PoC, scripts, payloads, observations à l'appui
  • Remediation : recommandations de correction, hiérarchisation des priorités
  • Branding : nom de la société, logo (le vôtre peut être téléversé)

À la fin du scan, un rapport PDF frappé du logo de votre société sort droit du pipeline, prêt à livrer. C'est la fonctionnalité pensée pour les sociétés de conseil en sécurité, les équipes SRC et les prestataires de pentest.

Un runtime pensé pour la sécurité

Illustration

Xalgorix a soigné le volet « ne pas se faire prendre à son propre piège » :

  • liaison loopback seule par défaut (127.0.0.1) ; toute exposition externe exige d'activer explicitement l'authentification
  • politique de chemins : les écritures système ne sont permises que dans data_dir, ~/.xalgorix/ et /tmp ; tout le reste est refusé
  • limites d'instances sensibles aux ressources : pour éviter qu'une machine saturée de scans ne fasse exploser la mémoire
  • watchdog avec délai d'attente ferme par outil : les sous-processus figés sont tués d'office
  • contrôle d'admission des exécutions concurrentes : les scans au-delà du plafond sont refusés, pour éviter d'empiler les tâches aveuglément

L'endpoint GET /api/status expose en plus des statistiques d'exécution : panics_recovered, path_rejections, watchdog_kills, admission_refusals, llm_inflight_cap. Exposer l'observabilité dans une API standard, c'est la signature d'un auteur ingénieur, pas d'un faiseur de PoC.

Les changements cassants de la v4.4.18

Points d'attention pour la mise à niveau :les sorties de scan, les notes, la planification et les autres données générées sont désormais stockées uniformément dans ~/.xalgorix/data/, et non plus dans le répertoire de lancement du binaire.

Pour conserver l'ancien comportement :

export XALGORIX_DATA_DIR=$(pwd)

Au démarrage, si d'anciens marqueurs comme notes.json, _schedules/ ou vulnerabilities.json sont détectés dans $CWD, un avertissement [MIGRATION] s'affiche — mais Xalgorix ne lit, ne copie et ne supprime rien automatiquementdans ces anciens fichiers. Un simple rappel de migration, sans toucher à vos données : une retenue qui rassure.

À qui ça s'adresse

Red teams / ingénieurs en test d'intrusion : méthodologie en 22 phases, automatisation et instructions en langage naturel vous libèrent des tâches répétitives pour vous concentrer sur la recherche manuelle de failles et l'analyse approfondie.

Chasseurs de Bug Bounty : scans en masse de cibles wild
card, découverte automatique de la surface d'attaque, notifications Discord en temps réel des vulnérabilités critiques. Dormez pendant que l'IA gagne vos primes.

Équipes SRC / blue teams : lancez des auto-évaluations régulières pour cartographier la surface d'attaque des actifs de l'entreprise. Les rapports PDF à votre marque partent droit à la direction.

Sociétés de conseil en sécurité : activez le mode service, isolez les scans par client, livrez des rapports aux couleurs de chacun.

Étudiants / chercheurs : la méthodologie en 22 phases vaut à elle seule un manuel de pentest vivant — open source, lisible, modifiable.

Pourquoi ce projet mérite votre attention

Illustration

En 2026, les outils de pentest IA ne manquent pas, mais rares sont ceux qui bouclent la chaîne comme Xalgorix :

  • pas un Agent sans UI (beaucoup d'outils de pentest IA ne vivent qu'en ligne de commande)
  • pas une UI sans méthodologie (beaucoup ne font qu'empiler des boutons)
  • pas de modèle unique imposé (tout endpoint compatible OpenAI est pris en charge, y compris le chinois MiniMax)
  • pas de livrable à moitié fini (rapports PDF à votre marque, prêts à livrer)
  • pas d'exécution à nu sans design sécuritaire (loopback par défaut, politique de chemins, watchdog, contrôle de concurrence : tout y est)

Achever l'ensemble « cerveau d'Agent IA + automatisation navigateur + chaîne d'outils + méthodologie en 22 phases + UI web + système de rapports » représente un investissement d'ingénierie assez rare dans l'open source.

Rappel d'usage responsable

Pour finir, impossible de contourner l'avertissement officiel :

Use Xalgorix only on systems you own or have explicit permission to test.

N'utilisez Xalgorix que sur des systèmes que vous possédez ou que vous êtes explicitement autorisé à tester.

La puissance des outils de pentest IA est une arme à double tranchant — elle révèle les failles efficacement, mais mal employée, elle expose à de vrais risques juridiques. Autorisation, périmètre, processus de reporting : tout doit être carré. Les affaires de personnes piégées par des outils IA et finissant au poste ne sont plus rares ; ne devenez pas la prochaine.

En résumé

Xalgorix n'est pas un PoC de pentest IA de plus : c'est un exemple open source d'ingénierie et de produit appliqués aux « tests de sécurité IA ».

Si vous travaillez dans la sécurité, côté attaque comme côté défense, il mérite un clone et un essai. Si vous contribuez à l'open source, son architecture Go + React + Agent LLM est aussi un excellent cas d'étude.

Rappel de l'adresse du projet :

github.com/xalgord/xalgorix