Indonesia

← Kembali ke daftar

Dunia Pentest Berubah Semalam! Platform Serangan AI Otomatis 22 Tahap Xalgorix Dirilis Open Source, Model Tiongkok Langsung Terhubung

itadol5j

Sampul

Apa pekerjaan paling melelahkan di industri pengujian penetrasi? Bukan menulis laporan, melainkan pekerjaan berulang—recon, directory bruteforce, uji titik injeksi, verifikasi SSRF, pemeriksaan CORS… satu pentest Web standar minimal harus menjalankan belasan alat, mengetik ratusan perintah, lalu merangkai hasilnya secara manual.

Beberapa tahun terakhir alat keamanan AI saling berpacu dengan sengit, tetapi sebagian besar proyek hanya bisa menjalankan satu tahap tunggal, atau hanya mendukung beberapa model tetap, atau UI-nya buruk sampai hanya bisa dipaksa lewat baris perintah.

Sampai aku melihat Xalgorix—proyek ini memecah seluruh metodologi penetrasi menjadi 22 tahap, berjalan sepenuhnya otomatis, dilengkapi dashboard Web, telemetri real-time, laporan PDF,mendukung MiniMax, GPT, Claude, Gemini, dan antarmuka kompatibel OpenAI mana pun. Open source, ditulis dengan Go, self-hosted, satu perintah make build langsung terbang.

Alamat proyek: github.com/xalgord/xalgorix

Sebenarnya Apa Itu Xalgorix

Definisi satu kalimat:platform pengujian penetrasi AI self-hosted.

Ia menggabungkan:

  • otak Agent berbasis LLM
  • otomatisasi browser (untuk DAST dan skenario yang butuh interaksi)
  • rantai alat terminal (memasang alat keamanan umum secara otomatis sesuai kebutuhan)
  • satu set metodologi pengujian penetrasi 22 tahap
  • aliran peristiwa WebSocket real-time
  • sistem manajemen temuan (kerentanan + CVSS + status verifikasi)
  • pembuatan laporan PDF berbranding
  • integrasi AgentMail dan Discord

Buka browser dan masuk ke http://127.0.0.1:9137, itulah “pusat komando pentest AI”-mu.

Metodologi 22 Tahap: Dari Recon sampai Zero-Day

Inilah yang paling membuatku terkesan pada Xalgorix—ia bukan model kasar “lempar satu URL dan biarkan AI mencari caranya sendiri”, melainkan memecah pengujian penetrasi menjadi 22 tahap berurutan:

  • Tahap 1-2: recon / penggalian kerentanan manual
  • Tahap 3-4: penemuan direktori dan file / analisis CORS dan Cookie
  • Tahap 5-6: uji sesi autentikasi / uji injeksi (SQL/XSS/Cmd)
  • Tahap 7-8: uji SSRF / akses tidak sah IDOR
  • Tahap 9-10: uji API dan GraphQL / uji unggah file
  • Tahap 11-12: deserialisasi dan RCE / race condition dan logika bisnis
  • Tahap 13-14: subdomain takeover / uji Open Redirect
  • Tahap 15-16: uji keamanan email / cloud dan infrastruktur
  • Tahap 17-18: uji WebSocket / uji khusus CMS
  • Tahap 19-20: pembajakan tautan mati / verifikasi kerentanan
  • Tahap 21-22: penemuan zero-day / laporan akhir

Kamu bisa menjalankan semuanya, atau mencentang di Web UI untuk menjalankan tahap tertentu saja—misalnya hanya ingin menguji SSRF dan IDOR, cukup centang keduanya, hemat waktu dan Token.

Tiga Mode Pemindaian

Ilustrasi
  • Single target: menguji satu URL atau host yang sudah diketahui
  • Wildcard / multi: wildcard multi-target, untuk penemuan attack surface dan pemindaian massal
  • DAST: pengujian berbantuan browser, khusus menangani aplikasi Web, alur autentikasi, formulir, dan perilaku runtime

Mode DAST adalah sorotannya—banyak alat pentest AI tidak mendukung otomatisasi browser, langsung keteteran saat menemui aplikasi Web modern yang butuh login atau interaksi SPA. Xalgorix langsung menyematkan lapisan browser, mampu menjalankan alur login, pengiriman formulir, dan interaksi JavaScript secara utuh.

Tiga Langkah Terbang, 60 Detik Selesai

Persyaratan lingkungan: Linux + Go 1.24.2+.

Step 1: Clone dan Kompilasi

git clone https://github.com/xalgord/xalgorix.git
cd xalgorix
make build
sudo install -m 755 build/xalgorix /usr/local/bin/xalgorix

make build akan mengompilasi React Web UI terlebih dahulu ke internal/web/static, lalu mengompilasi binary Go.

Step 2: Konfigurasi LLM

Buat ~/.xalgorix.env:

XALGORIX_LLM=minimax/MiniMax-M2.7
XALGORIX_API_KEY=your_provider_api_key

Untuk pengguna di Tiongkok direkomendasikan MiniMax-M2.7, rasio kinerja-harganya tinggi dan ramah untuk laporan pentest berbahasa Mandarin. Juga mendukung OpenAI, antarmuka kompatibel OpenAI kustom, dan Gemini.

Konfigurasi OpenAI:

XALGORIX_LLM=openai/gpt-5.4
XALGORIX_API_KEY=sk-...

OpenAI kompatibel kustom (misalnya Alibaba Tongyi, Zhipu, dll.):

XALGORIX_LLM=custom/security-model
XALGORIX_API_BASE=https://your-provider.example/v1
XALGORIX_API_KEY=your_provider_api_key

Step 3: Nyalakan Dashboard Web

xalgorix --web

Buka browser dan masuk ke http://127.0.0.1:9137, mulai kerja.

Bisa Dijalankan Lewat Baris Perintah Juga

Untuk pengguna hardcore yang tidak ingin memakai Web UI:

xalgorix --target https://example.com

Dengan instruksi kustom:

xalgorix --target https://app.example.com --instruction "Focus on SQL injection, IDOR, and auth bypass. Avoid destructive tests."

Instruksi bahasa alami semacam ini langsung diberikan ke Agent, dan ia akan berjalan sesuai strategi yang kamu katakan.

Service Mode: Berjalan sebagai Layanan Sistem

Ilustrasi

Yang perlu menjalankan pemindaian massal 7×24:

sudo xalgorix --start
sudo xalgorix --restart
sudo xalgorix --stop
sudo xalgorix --uninstall

journalctl -u xalgorix -f

Ingin akses browser jarak jauh? Wajib mengaktifkan autentikasi dashboard dulu:

sudo tee -a /root/.xalgorix.env >/dev/null <<EOF
XALGORIX_BIND=0.0.0.0
XALGORIX_USERNAME=admin
XALGORIX_PASSWORD=change-this
EOF

sudo xalgorix --restart

Perhatian: tanpa konfigurasi autentikasi, server langsung menolak binding eksternal. Nilai default aman ini patut mendapat tepuk tangan dari pembuatnya.

Ekosistem Integrasi

Xalgorix bukan pulau terpencil:

  • AgentMail: email sekali pakai untuk pengujian, penerimaan email verifikasi, alur OTP, peristiwa pemicu email
  • Discord Webhook: push real-time kerentanan berisiko tinggi, dapat mengatur ambang batas tingkat keparahan minimum

Contoh konfigurasi Discord:

XALGORIX_DISCORD_WEBHOOK=https://discord.com/api/webhooks/...
XALGORIX_DISCORD_MIN_SEVERITY=high

Dengan begini, hanya temuan level high ke atas yang akan memberitahumu, terhindar dari banjir informasi berisiko rendah.

Fitur Laporan: PDF yang Langsung Bisa Dikirim ke Klien

Fitur laporan banyak alat open source adalah lelucon—entah JSON murni, entah Markdown asal-asalan, sama sekali tidak bisa langsung diserahkan ke klien.

Modul laporan Xalgorix benar-benar dikerjakan dengan sungguh-sungguh:

  • Summary: ringkasan eksekutif, metadata target, metadata pemindaian, gambaran tingkat keparahan
  • Findings: temuan terverifikasi, detail CVSS, analisis teknis, bukti eksploitasi
  • Evidence: perintah PoC, skrip, payload, pengamatan pendukung
  • Remediation: panduan perbaikan, urutan prioritas
  • Branding: nama perusahaan, Logo (kamu bisa mengunggah milikmu sendiri)

Setelah satu pemindaian selesai, langsung keluar laporan PDF dengan Logo perusahaanmu, siap diserahkan. Ini fitur yang disiapkan untuk perusahaan konsultan keamanan, tim SRC, dan penyedia layanan pentest.

Desain Runtime yang Aman

Ilustrasi

Xalgorix mencurahkan perhatian pada hal “jangan sampai dirinya sendiri diserang”:

  • Secara default hanya binding ke loopback(127.0.0.1), wajib mengaktifkan autentikasi secara eksplisit agar bisa diekspos ke luar
  • Kebijakan path: penulisan sistem file hanya diizinkan ke data_dir, ~/.xalgorix/, /tmp, sisanya semuanya ditolak
  • Batas instance yang sadar sumber daya: menghindari satu mesin menjalankan terlalu banyak pemindaian hingga memori meledak
  • Watchdog timeout keras per alat: proses anak yang macet akan dipaksa hentikan
  • Kontrol adisi konkurensi: pemindaian yang melebihi batas atas akan ditolak, tidak menumpuk tugas tanpa berpikir

Antarmuka GET /api/status juga memaparkan statistik runtime: panics_recovered, path_rejections, watchdog_kills, admission_refusals, llm_inflight_cap. Pendekatan menulis observabilitas ke dalam API standar semacam ini memperlihatkan pembuatnya tipe insinyur, bukan tipe PoC.

Perubahan Merusak pada v4.4.18 Kali Ini

Catatan upgrade:output pemindaian, catatan, penjadwalan, dan data yang dibuat lainnya kini disimpan terpusat di ~/.xalgorix/data/, tidak lagi diletakkan di direktori tempat binary dijalankan.

Pengguna lama yang ingin mempertahankan perilaku asli:

export XALGORIX_DATA_DIR=$(pwd)

Saat startup, jika terdeteksi penanda path lama seperti notes.json, _schedules/, vulnerabilities.json di $CWD, akan muncul peringatan [MIGRATION]—tetapi Xalgorix tidak akan otomatis membaca, menyalin, atau menghapusfile-file lama itu. Hanya mengingatkanmu untuk migrasi, tidak mengacak-acak data, kendali diri seperti ini menenangkan.

Cocok untuk Siapa

Red team / insinyur pengujian penetrasi: metodologi 22 tahap + otomatisasi + instruksi bahasa alami, dapat membebaskanmu dari pekerjaan berulang agar fokus pada penggalian kerentanan manual dan analisis mendalam.

Pemburu Bug Bounty: pemindaian massal wildcard
target, penemuan attack surface otomatis, push real-time kerentanan tinggi ke Discord. Tidur sambil biarkan AI membantumu menghasilkan bounty.

Tim SRC / blue team: menjalankan pemeriksaan mandiri berkala, memetakan attack surface aset perusahaan dengan jelas. Laporan PDF berbranding langsung dilaporkan ke atasan.

Perusahaan konsultan keamanan: aktifkan service mode, pemindaian terisolasi multi-klien, keluarkan laporan berbranding klien.

Mahasiswa / peneliti: metodologi 22 tahap itu sendiri adalah buku ajar penetrasi yang hidup, open source, bisa dibaca, bisa dimodifikasi.

Mengapa Proyek Ini Layak Diperhatikan

Ilustrasi

Tahun 2026 alat pentest AI tidak sedikit, tetapi yang mampu mencapai “lingkaran penuh” seperti Xalgorix tidak banyak:

  • bukan hanya ada Agent tanpa UI (banyak alat pentest AI hanya baris perintah)
  • bukan hanya ada UI tanpa metodologi (banyak yang hanya menumpuk tombol)
  • bukan terikat satu model tunggal (mendukung antarmuka kompatibel OpenAI mana pun, termasuk MiniMax dari Tiongkok)
  • bukan menghasilkan karya setengah jadi (laporan PDF berbranding, langsung bisa diserahkan)
  • bukan berjalan telanjang tanpa desain keamanan (default loopback, kebijakan path, watchdog, kontrol konkurensi semuanya ada)

Menyelesaikan seluruh “otak AI Agent + otomatisasi browser + rantai alat + metodologi 22 tahap + Web UI + sistem laporan”, volume rekayasa semacam ini sangat langka di dunia open source.

Pengingat Penggunaan yang Aman

Terakhir, wajib menegaskan kalimat asli resmi:

Use Xalgorix only on systems you own or have explicit permission to test.

Gunakan Xalgorix hanya pada sistem yang kamu miliki atau punya izin eksplisit untuk diuji.

Kekuatan alat pentest AI juga merupakan pedang bermata dua—ia bisa membantumu menemukan kerentanan secara efisien, tetapi dipakai di tempat yang salah berarti risiko hukum yang nyata. Otorisasi, cakupan, dan alur pelaporan semua harus diperhatikan. Belakangan ini kasus orang tersandung ke penjara karena alat AI tidaklah langka, jangan sampai kamu jadi berita.

Kesimpulan

Xalgorix bukan sekadar PoC pentest AI yang lain, ia adalah contoh open source yang merekayasa dan memproduksikan “pengujian keamanan berbasis AI”.

Jika kamu bekerja di industri keamanan, baik menyerang maupun bertahan, semuanya layak di-clone dan dicoba. Jika kamu berkontribusi di open source, arsitektur Go + React + LLM Agent proyek ini juga sampel belajar yang bagus.

Alamat proyek sekali lagi:

github.com/xalgord/xalgorix