Italiano

← Torna all’elenco

Il mondo del pentesting cambia da un giorno all'altro! Xalgorix, piattaforma open source di attacco AI completamente automatizzata in 22 fasi, si collega direttamente ai modelli cinesi

itadol5j

Copertina

Qual è il lavoro più pesante nel pentesting? Non scrivere i report: è la ripetitività — ricognizione, directory bruteforce, test dei punti di iniezione, verifica SSRF, controlli CORS... un Web pentest standard richiede almeno una decina di strumenti, centinaia di comandi da digitare e poi il montaggio manuale dei risultati.

Negli ultimi anni gli strumenti di sicurezza AI sono fioriti come funghi, ma la maggior parte dei progetti o esegue solo una singola fase, o supporta solo pochi modelli fissi, o ha un'interfaccia talmente pessima da costringerti a vivere in riga di comando.

Finché non ho visto Xalgorix — un progetto che scompone l'intera metodologia di pentesting in 22 fasi, eseguite in modo completamente automatico, con dashboard Web, telemetria in tempo reale e report PDF,con supporto per MiniMax, GPT, Claude, Gemini e qualsiasi interfaccia compatibile OpenAI. Open source, scritto in Go, self-hosted: parte con un solo make build.

Indirizzo del progetto: github.com/xalgord/xalgorix

Che cos'è davvero Xalgorix

Definizione in una frase:una piattaforma AI self-hosted per il penetration testing.

Combina:

  • un cervello Agent guidato da LLM
  • automazione del browser (per DAST e gli scenari che richiedono interazione)
  • toolchain da terminale (installa automaticamente su richiesta gli strumenti di sicurezza più comuni)
  • una metodologia di penetration testing in 22 fasi
  • flusso di eventi WebSocket in tempo reale
  • sistema di gestione dei findings (vulnerabilità + CVSS + stato di verifica)
  • generazione di report PDF con branding
  • integrazioni con AgentMail e Discord

Apri il browser su http://127.0.0.1:9137 e hai davanti il tuo “centro di comando AI per il pentesting”.

La metodologia in 22 fasi: dalla ricognizione agli zero-day

È l'aspetto di Xalgorix che mi ha fatto aprire gli occhi — non è il modello grossolano del “lancia un URL e l'AI si arrangia”, ma il pentesting scomposto in 22 fasi ordinate:

  • Fasi 1-2: ricognizione / ricerca manuale delle vulnerabilità
  • Fasi 3-4: scoperta di file e directory / analisi CORS e Cookie
  • Fasi 5-6: test di autenticazione e sessioni / test di iniezione (SQL/XSS/Cmd)
  • Fasi 7-8: test SSRF / accesso non autorizzato IDOR
  • Fasi 9-10: test di API e GraphQL / test di upload di file
  • Fasi 11-12: deserializzazione e RCE / race condition e logica di business
  • Fasi 13-14: takeover di sottodomini / test di Open Redirect
  • Fasi 15-16: test di sicurezza della posta / cloud e infrastruttura
  • Fasi 17-18: test WebSocket / test specifici per CMS
  • Fasi 19-20: hijacking di link rotti / verifica delle vulnerabilità
  • Fasi 21-22: scoperta di zero-day / report finale

Puoi eseguirle tutte oppure, dalla Web UI, selezionare solo le fasi che ti interessano — ad esempio se vuoi testare solo SSRF e IDOR, basta spuntare quelle due: si risparmiano tempo e token.

Tre modalità di scansione

Illustrazione
  • Single target: testare un singolo URL o host noto
  • Wildcard / multi: target multipli con wildcard, per la scoperta della superficie di attacco e le scansioni in blocco
  • DAST: test assistiti dal browser, pensati per applicazioni Web, flussi di autenticazione, form e comportamento a runtime

La modalità DAST è il pezzo forte — molti strumenti di pentesting AI non supportano l'automazione del browser e vanno in confusione con le moderne app Web che richiedono login o interazioni SPA. Xalgorix ha un layer browser integrato che gestisce interamente flussi di login, invio di form e interazioni JavaScript.

Via in tre passi, 60 secondi e sei operativo

Requisiti ambientali: Linux + Go 1.24.2+.

Passo 1: clona e compila

git clone https://github.com/xalgord/xalgorix.git
cd xalgorix
make build
sudo install -m 755 build/xalgorix /usr/local/bin/xalgorix

make build compila prima la React Web UI in internal/web/static, poi il binario Go.

Passo 2: configura l'LLM

Crea ~/.xalgorix.env:

XALGORIX_LLM=minimax/MiniMax-M2.7
XALGORIX_API_KEY=your_provider_api_key

Per gli utenti in Cina è consigliato MiniMax-M2.7: ottimo rapporto qualità/prezzo e buono con i report di pentesting in cinese. Sono supportati anche OpenAI, interfacce personalizzate compatibili OpenAI e Gemini.

Configurazione OpenAI:

XALGORIX_LLM=openai/gpt-5.4
XALGORIX_API_KEY=sk-...

OpenAI compatibile personalizzato (ad esempio Alibaba Tongyi, Zhipu e altri):

XALGORIX_LLM=custom/security-model
XALGORIX_API_BASE=https://your-provider.example/v1
XALGORIX_API_KEY=your_provider_api_key

Passo 3: avvia la dashboard Web

xalgorix --web

Apri il browser su http://127.0.0.1:9137 e via.

Si può fare anche da riga di comando

Per gli utenti hardcore che non vogliono la Web UI:

xalgorix --target https://example.com

Con istruzioni personalizzate:

xalgorix --target https://app.example.com --instruction "Focus on SQL injection, IDOR, and auth bypass. Avoid destructive tests."

Queste istruzioni in linguaggio naturale vengono passate direttamente all'Agent, che eseguirà la strategia che gli hai indicato.

Service Mode: eseguirlo come servizio di sistema

Illustrazione

Se devi eseguire scansioni in blocco 7 giorni su 7, 24 ore su 24:

sudo xalgorix --start
sudo xalgorix --restart
sudo xalgorix --stop
sudo xalgorix --uninstall

journalctl -u xalgorix -f

Vuoi accedere alla dashboard da remoto? Devi prima attivare l'autenticazione della dashboard:

sudo tee -a /root/.xalgorix.env >/dev/null <<EOF
XALGORIX_BIND=0.0.0.0
XALGORIX_USERNAME=admin
XALGORIX_PASSWORD=change-this
EOF

sudo xalgorix --restart

Attenzione: senza autenticazione configurata, il server rifiuta direttamente il bind esterno. Questo default di sicurezza merita un applauso per l'autore.

Ecosistema di integrazioni

Xalgorix non è un'isola:

  • AgentMail: email usa e getta per i test, ricezione di email di verifica, flussi OTP, eventi attivati dalle email
  • Discord Webhook: notifiche in tempo reale delle vulnerabilità critiche, con soglia minima di gravità configurabile

Esempio di configurazione Discord:

XALGORIX_DISCORD_WEBHOOK=https://discord.com/api/webhooks/...
XALGORIX_DISCORD_MIN_SEVERITY=high

Così ricevi notifiche solo per i findings di gravità high o superiore, evitando di essere sommerso da segnalazioni a basso rischio.

I report: PDF pronti da consegnare al cliente

In molti strumenti open source la funzione di report è una barzelletta — o puro JSON, o Markdown di ripiego: impossibile consegnarli direttamente a un cliente.

Il modulo report di Xalgorix è invece fatto sul serio:

  • Summary: riassunto esecutivo, metadati del target, metadati della scansione, panoramica delle gravità
  • Findings: findings verificati, dettagli CVSS, analisi tecnica, prove di sfruttamento
  • Evidence: comandi PoC, script, payload, osservazioni a supporto
  • Remediation: indicazioni di rimedio, ordine di priorità
  • Branding: nome dell'azienda, Logo (puoi caricare il tuo)

A scansione finita, esce direttamente un report PDF con il Logo della tua azienda, pronto da consegnare. È una funzione pensata per le società di consulenza sicurezza, i team SRC e i fornitori di servizi pentest.

Design della sicurezza a runtime

Illustrazione

Xalgorix ci ha investito impegno nel “non farsi rompere”:

  • di default si lega solo al loopback (127.0.0.1): per esporsi all'esterno occorre attivare esplicitamente l'autenticazione
  • Policy sui percorsi: le scritture sul filesystem sono consentite solo in data_dir, ~/.xalgorix/ e /tmp; tutto il resto viene rifiutato
  • Limiti di istanza consapevoli delle risorse: evita che troppe scansioni sulla stessa macchina facciano esplodere la memoria
  • Watchdog con hard timeout per ogni strumento: i sottoprocessi bloccati vengono forzatamente terminati
  • Controllo di ammissione della concorrenza: le scansioni oltre il limite vengono rifiutate, niente accumulo indiscriminato di task

L'endpoint GET /api/status espone anche statistiche di runtime: panics_recovered, path_rejections, watchdog_kills, admission_refusals, llm_inflight_cap. Questo modo di mettere l'osservabilità in un'API standard dimostra che l'autore è della scuola ingegneristica, non della scuola PoC.

Le modifiche breaking di questa v4.4.18

Note per l'aggiornamento:output delle scansioni, note, pianificazioni e altri dati generati ora vengono salvati tutti in ~/.xalgorix/data/, non più nella directory di avvio del binario.

Gli utenti di vecchia data che vogliono mantenere il comportamento precedente:

export XALGORIX_DATA_DIR=$(pwd)

se all'avvio vengono rilevati vecchi marker di percorso come notes.json, _schedules/ o vulnerabilities.json in $CWD, compare un avviso [MIGRATION] — ma Xalgorix non legge, copia né cancella automaticamentei vecchi file. Si limita a ricordarti la migrazione, senza toccare i dati: una sobrietà che rassicura.

Per chi è adatto

Red team / ingegneri di penetration testing: la metodologia in 22 fasi + automazione + istruzioni in linguaggio naturale ti liberano dal lavoro ripetitivo, per concentrarti sul bug hunting manuale e sull'analisi approfondita.

Bug Bounty hunter: scansioni in blocco di target wil
dcard, scoperta automatica della superficie di attacco, notifiche Discord in tempo reale delle vulnerabilità critiche. Lascia che sia l'AI a guadagnare i bounty mentre dormi.

Team SRC / blue team: esegui auto-verifiche periodiche e fai il punto sulla superficie di attacco degli asset aziendali. Report PDF con branding da presentare direttamente al capo.

Società di consulenza sicurezza: attiva la service mode, scansioni isolate per più clienti, report con il brand del cliente.

Studenti / ricercatori: la metodologia in 22 fasi è di per sé un manuale di pentesting vivente, open source, leggibile e modificabile.

Perché questo progetto merita attenzione

Illustrazione

Nel 2026 gli strumenti di pentesting AI non mancano, ma pochi raggiungono il “ciclo completo” di Xalgorix:

  • non solo Agent senza UI (molti strumenti di pentesting AI sono solo da riga di comando)
  • non solo UI senza metodologia (molti sono solo un mucchio di pulsanti)
  • non vincolato a un solo modello (supporta qualsiasi interfaccia compatibile OpenAI, incluso il cinese MiniMax)
  • non produce mezzi lavori (report PDF con branding, pronti da consegnare)
  • non gira nudo senza design di sicurezza (default loopback, policy sui percorsi, watchdog, controllo di concorrenza: c'è tutto)

Completare l'intero pacchetto “cervello AI Agent + automazione browser + toolchain + metodologia in 22 fasi + Web UI + sistema di report” è un lavoro ingegneristico piuttosto raro nel mondo open source.

Avvertenza per un uso sicuro

Infine una citazione ufficiale, d'obbligo:

Use Xalgorix only on systems you own or have explicit permission to test.

Usa Xalgorix solo su sistemi di tua proprietà o per i quali hai un'autorizzazione esplicita al test.

La potenza degli strumenti di pentesting AI è un'arma a doppio taglio — ti aiuta a trovare vulnerabilità in modo efficiente, ma usata nel posto sbagliato è un vero rischio legale. Autorizzazione, perimetro, processo di reportistica: tutto va fatto per bene. In questi anni i casi di chi è finito nei guai per colpa di strumenti AI non sono rari: non diventare tu la notizia.

Conclusione

Xalgorix non è l'ennesimo PoC di pentesting AI: è un esempio open source di come “il testing di sicurezza AI” possa essere portato a livello ingegneristico e di prodotto.

Se lavori nel settore della sicurezza, sia come attaccante che come difensore, vale la pena clonarlo e provarlo. Se contribuisci all'open source, l'architettura Go + React + LLM Agent del progetto è anche un ottimo materiale di studio.

Riposto l'indirizzo del progetto:

github.com/xalgord/xalgorix