日本語

← 一覧に戻る

ペネトレ業界が一夜にして激変！Xalgorix、22フェーズ全自動AI攻撃プラットフォームをオープンソース化――中国製モデルも直接接続

itadol5j

カバー

ペネトレーションテスト業界で最も疲れるのは何か？レポートを書くことではなく、反復作業だ――リーコン、ディレクトリ総当たり、インジェクションポイントのテスト、SSRF検証、CORSチェック……標準的なWebペネトレ1回でも、少なくとも十数個のツールを走らせ、数百件のコマンドを打ち、さらにその結果を手作業で組み合わせる必要がある。

ここ数年、AIセキュリティツールは熾烈な開発競争を続けているが、ほとんどのプロジェクトは単一フェーズしか走らなかったり、決まった少数のモデルしか設定できなかったり、UIがひどすぎてコマンドラインで我慢するしかなかったりする。

そんな中でXalgorixを見つけた――このプロジェクトはペネトレーション方法論全体を22フェーズに分解して全自動で走らせ、Webダッシュボード、リアルタイムテレメトリ、PDFレポートを備え、MiniMax、GPT、Claude、Gemini、そして任意のOpenAI互換インターフェースに対応している。オープンソース、Go製、セルフホストで、make buildの一言で飛び立てる。

プロジェクトURL：github.com/xalgord/xalgorix

Xalgorixとは一体何なのか

ひとことで定義すると：セルフホスト型のAIペネトレーションテストプラットフォームだ。

次の要素を組み合わせている：

  • LLM駆動のAgentブレーン
  • ブラウザ自動化（DASTと、対話が必要なシーン向け）
  • ターミナルツールチェーン（主要なセキュリティツールを必要に応じて自動インストール）
  • 22フェーズのペネトレーションテスト方法論一式
  • リアルタイムWebSocketイベントストリーム
  • 発見管理システム（脆弱性 + CVSS + 検証ステータス）
  • ブランド対応PDFレポート生成
  • AgentMailとDiscordの統合

ブラウザで http://127.0.0.1:9137 を開けば、それがあなたの「AIペネトレ指揮センター」だ。

22フェーズ方法論：リーコンからゼロデイまで

ここがXalgorixで最も目を引いた点――「URLを投げてあとはAIに丸投げ」という雑な方式ではなく、ペネトレーションテストを22の順序立ったフェーズに分解しているのだ：

  • フェーズ1-2：リーコン / 手動脆弱性発見
  • フェーズ3-4：ディレクトリ・ファイル探索 / CORS・Cookie分析
  • フェーズ5-6：認証セッションテスト / インジェクションテスト（SQL/XSS/Cmd）
  • フェーズ7-8：SSRFテスト / IDOR権限越えアクセス
  • フェーズ9-10：API・GraphQLテスト / ファイルアップロードテスト
  • フェーズ11-12：デシリアライズとRCE / 競合状態とビジネスロジック
  • フェーズ13-14：サブドメイン乗っ取り / オープンリダイレクトテスト
  • フェーズ15-16：メールセキュリティテスト / クラウドとインフラ
  • フェーズ17-18：WebSocketテスト / CMS特化テスト
  • フェーズ19-20：リンク切れハイジャック / 脆弱性検証
  • フェーズ21-22：ゼロデイ発見 / 最終レポート

全部走らせてもいいし、Web UIで特定フェーズだけにチェックを入れて絞ることもできる――たとえばSSRFとIDORだけ試したければ、その2つにチェックを入れるだけで、時間もトークンも節約できる。

3つのスキャンモード

イラスト
  • Single target：既知の単一URLやホストをテストする
  • Wildcard / multi：ワイルドカード複数ターゲットで、攻撃面の発見とバッチスキャンに使う
  • DAST：ブラウザ支援テストで、Webアプリ、認証フロー、フォーム、ランタイム挙動の専門

DASTモードが目玉だ――多くのAIペネトレツールはブラウザ自動化に対応しておらず、ログインが必要だったりSPAの操作が必要だったりする現代のWebアプリに遭遇すると手も足も出ない。Xalgorixはブラウザ層を内蔵しており、ログインフロー、フォーム送信、JavaScriptの操作を一通り完走できる。

3ステップで起動、60秒で完成

環境要件：Linux + Go 1.24.2以上。

Step 1：クローンとビルド

git clone https://github.com/xalgord/xalgorix.git
cd xalgorix
make build
sudo install -m 755 build/xalgorix /usr/local/bin/xalgorix

make buildはまずReactのWeb UIを internal/web/static にビルドし、その後Goバイナリをコンパイルする。

Step 2：LLMの設定

~/.xalgorix.env を作成する：

XALGORIX_LLM=minimax/MiniMax-M2.7
XALGORIX_API_KEY=your_provider_api_key

中国国内ではMiniMax-M2.7がおすすめ。コストパフォーマンスが高く、中国語のペネトレレポートにも親和的だ。OpenAI、カスタムのOpenAI互換インターフェース、Geminiにも対応している。

OpenAIの設定：

XALGORIX_LLM=openai/gpt-5.4
XALGORIX_API_KEY=sk-...

カスタムOpenAI互換（たとえばアリババ通義、智谱/Zhipuなど）：

XALGORIX_LLM=custom/security-model
XALGORIX_API_BASE=https://your-provider.example/v1
XALGORIX_API_KEY=your_provider_api_key

Step 3：Webダッシュボードの起動

xalgorix --web

ブラウザで http://127.0.0.1:9137 を開けば、さっそく作業開始だ。

コマンドラインでも走らせられる

Web UIを使いたくないヘビーユーザー向け：

xalgorix --target https://example.com

カスタム指示を添える場合：

xalgorix --target https://app.example.com --instruction "Focus on SQL injection, IDOR, and auth bypass. Avoid destructive tests."

こうした自然言語の指示はそのままAgentに渡され、指定した戦略に沿って走ってくれる。

Service Mode：システムサービスとして走らせる

イラスト

7×24でバッチスキャンを走らせたい場合：

sudo xalgorix --start
sudo xalgorix --restart
sudo xalgorix --stop
sudo xalgorix --uninstall

journalctl -u xalgorix -f

リモートからブラウザアクセスさせたい場合は、必ず先にダッシュボード認証を有効にする：

sudo tee -a /root/.xalgorix.env >/dev/null <<EOF
XALGORIX_BIND=0.0.0.0
XALGORIX_USERNAME=admin
XALGORIX_PASSWORD=change-this
EOF

sudo xalgorix --restart

注意：認証が設定されていない場合、サーバーは外部バインドを直接拒否する。このセキュアなデフォルト値には、作者に拍手を送りたくなる。

統合エコシステム

Xalgorixは孤島ではない：

  • AgentMail：テスト用の使い捨てメール、確認メールの受信、OTPフロー、メール起因のイベント
  • Discord Webhook：重大脆弱性をリアルタイム通知し、最低重要度のしきい値を設定可能

Discord設定例：

XALGORIX_DISCORD_WEBHOOK=https://discord.com/api/webhooks/...
XALGORIX_DISCORD_MIN_SEVERITY=high

こうすれば high 以上の発見だけが通知され、低重要度の情報に埋もれない。

レポート機能：そのまま顧客に渡せるPDF

多くのオープンソースツールのレポート機能はお笑い種だ――生JSONか、その場しのぎのMarkdownで、顧客にそのまま納品できる代物ではない。

Xalgorixのレポートモジュールは本気で作り込まれている：

  • Summary：エグゼクティブサマリー、ターゲットメタデータ、スキャンメタデータ、重要度の概観
  • Findings：検証済みの発見、CVSS詳細、技術分析、エクスプロイト実証
  • Evidence：PoCコマンド、スクリプト、ペイロード、裏付けとなる観察事項
  • Remediation：修正ガイダンス、優先度の順位付け
  • Branding：会社名、ロゴ（自社のものをアップロードできる）

スキャンを1回走らせるだけで、自社ロゴ入りのPDFレポートがそのまま納品可能な形で出てくる。セキュリティコンサル会社、SRCチーム、ペネトレサービス事業者のために用意された機能だ。

セキュアなランタイム設計

イラスト

Xalgorixは「自分自身が攻撃されない」ことにも気を配っている：

  • デフォルトはloopbackのみにバインド（127.0.0.1）。外部に公開するには、認証を明示的に有効化する必要がある
  • パスポリシー：ファイルシステムへの書き込みは data_dir、~/.xalgorix/、/tmp のみ許可し、それ以外はすべて拒否
  • リソースを考慮したインスタンス制限：1台のマシンでスキャンを掛けすぎてメモリが爆発するのを防ぐ
  • ツールごとのハードタイムアウトウォッチドッグ：ハングした子プロセスは強制終了される
  • 同時実行アドミッション制御：上限を超えたスキャンは拒否され、タスクが無軌道に積み上がらない

GET /api/status エンドポイントではランタイム統計も公開されている：panics_recovered、path_rejections、watchdog_kills、admission_refusals、llm_inflight_cap。可観測性を標準APIに組み込むこの姿勢には、作者がPoC屋ではなくエンジニアリング屋だということが見て取れる。

v4.4.18の今回の破壊的変更

アップグレード時の注意：スキャン出力、ノート、スケジュール、その他の生成データは今後すべて ~/.xalgorix/data/ に統一保存される。バイナリの起動ディレクトリには置かれなくなる。

旧挙動を維持したい既存ユーザー向け：

export XALGORIX_DATA_DIR=$(pwd)

起動時に $CWD に notes.json、_schedules/、vulnerabilities.json といった旧パスマーカーが検出されると、[MIGRATION] 警告が出る――ただしXalgorixは これらの旧ファイルを自動で読み取ったり、コピーしたり、削除したりはしない。移行を促すだけで、データを勝手にいじることはない。この自制心には安心感がある。

どんな人に向いているか

レッドチーム / ペネトレーションテストエンジニア：22フェーズ方法論 + 自動化 + 自然言語指示で、反復作業から解放され、手作業での深掘りと詳細分析に集中できる。

Bug Bountyハンター：ワイルドカードの複数ターゲットを一括スキャンし、
攻撃面を自動発見し、Discordに重大脆弱性をリアルタイム通知。寝ている間にAIが賞金稼ぎを手伝ってくれる。

SRCチーム / ブルーチーム：定期的にセルフチェックを走らせ、企業資産の攻撃面をくまなく把握。ブランド入りPDFレポートでそのまま経営層に報告できる。

セキュリティコンサル会社：サービスモードを開き、顧客ごとに分離したスキャンを実施し、顧客ブランドのレポートを出力。

学生 / 研究者：22フェーズ方法論そのものが生きたペネトレ教科書であり、オープンソースで読めて、改変もできる。

なぜこのプロジェクトが注目に値するのか

イラスト

2026年、AIペネトレーションテストツールは少なくないが、Xalgorixのような「完全なクローズドループ」を実現しているものは多くない：

  • AgentだけでUIがない、ということはない（多くのAIペネトレツールはコマンドラインのみ）
  • UIだけで方法論がない、ということはない（ボタンを並べただけのものも多い）
  • 単一モデルに縛られていない（中国製MiniMaxを含む、任意のOpenAI互換インターフェースに対応）
  • 半端な出力で終わらない（ブランド入りPDFレポートがそのまま納品可能）
  • セキュリティ設計なしの素走りではない（デフォルトのloopback、パスポリシー、ウォッチドッグ、同時実行制御をすべて装備）

「AI Agentブレーン + ブラウザ自動化 + ツールチェーン + 22フェーズ方法論 + Web UI + レポートシステム」を全部仕上げるという工数は、オープンソース界隈では相当に稀だ。

安全に使うための注意

最後に、公式の言葉を必ず引用しておく：

Use Xalgorix only on systems you own or have explicit permission to test.

Xalgorixは、自分が所有するか、明示的なテスト許可を得ているシステムでのみ使用すること。

AIペネトレツールの強力さは諸刃の剣だ――効率的に脆弱性を見つけられる一方、使う場所を間違えれば現実の法的リスクになる。許可、範囲、報告フロー、すべてをきちんと管理すること。昨今、AIツールで面倒に巻き込まれるケースは決して珍しくない。自分がニュースにならないように。

まとめ

Xalgorixはまた一つのAIペネトレPoCではない。「AIセキュリティテスト」をエンジニアリングし、プロダクト化したオープンソースの見本だ。

セキュリティ業界にいるなら、攻めでも守りでも、cloneして試す価値がある。オープンソースに貢献するなら、このプロジェクトのGo + React + LLM Agentアーキテクチャも良質な学習サンプルだ。

プロジェクトURLをもう一度：

github.com/xalgord/xalgorix