한국어

← 목록으로

침투 테스트 업계가 하룻밤에 뒤집혔다! Xalgorix 22단계 완전 자동 AI 공격 플랫폼 오픈소스 공개, 중국산 모델 바로 연결

itadol5j

커버

침투 테스트 업계에서 가장 지치는 일은 무엇일까? 보고서 쓰기가 아니라 반복 작업입니다 — 정찰, 디렉터리 브루트포싱, 인젝션 포인트 테스트, SSRF 검증, CORS 점검…… 표준적인 웹 침투 테스트 하나에 최소 십여 개의 도구를 돌리고 수백 개의 명령어를 입력한 다음, 결과를 사람이 직접 취합해야 합니다.

최근 몇 년간 AI 보안 도구 경쟁이 치열하지만, 대부분의 프로젝트는 단일 단계만 돌리거나, 몇 개의 고정 모델만 설정하거나, UI가 형편없어 CLI로만 억지로 굴려야 합니다.

Xalgorix를 보기 전까지는요 — 이 프로젝트는 침투 테스트 방법론 전체를 22개 단계로 쪼개 완전 자동으로 실행하고, 웹 대시보드, 실시간 텔레메트리, PDF 보고서를 갖추고,MiniMax, GPT, Claude, Gemini 및 모든 OpenAI 호환 인터페이스를 지원합니다. 오픈소스, Go로 작성, 자체 호스팅이며 make build 한 줄로 이륙합니다.

프로젝트 주소: github.com/xalgord/xalgorix

Xalgorix는 대체 무엇인가

한 문장 정의:자체 호스팅 AI 침투 테스트 플랫폼.

다음을 결합합니다:

  • LLM 기반 Agent 두뇌
  • 브라우저 자동화 (DAST 및 상호작용이 필요한 시나리오용)
  • 터미널 도구 체인 (일반 보안 도구를 필요할 때 자동 설치)
  • 22단계 침투 테스트 방법론
  • 실시간 WebSocket 이벤트 스트림
  • 발견 관리 시스템 (취약점 + CVSS + 검증 상태)
  • 브랜딩 PDF 보고서 생성
  • AgentMail 및 Discord 통합

브라우저에서 http://127.0.0.1:9137을 열면 바로 당신의 'AI 침투 테스트 지휘 센터'입니다.

22단계 방법론: 정찰부터 제로데이까지

Xalgorix에서 가장 눈이 번쩍한 지점입니다 — 'URL 하나 던져 놓고 AI가 알아서 하게' 하는 무식한 방식이 아니라, 침투 테스트를 22개의 순서 있는 단계로 쪼갠 것입니다:

  • 단계 1-2: 정찰 / 수동 취약점 분석
  • 단계 3-4: 디렉터리·파일 발견 / CORS 및 Cookie 분석
  • 단계 5-6: 인증 세션 테스트 / 인젝션 테스트 (SQL/XSS/Cmd)
  • 단계 7-8: SSRF 테스트 / IDOR 권한 우회 접근
  • 단계 9-10: API 및 GraphQL 테스트 / 파일 업로드 테스트
  • 단계 11-12: 역직렬화 및 RCE / 경쟁 상태와 비즈니스 로직
  • 단계 13-14: 서브도메인 탈취 / Open Redirect 테스트
  • 단계 15-16: 이메일 보안 테스트 / 클라우드 및 인프라
  • 단계 17-18: WebSocket 테스트 / CMS 전문 테스트
  • 단계 19-20: 죽은 링크 하이재킹 / 취약점 검증
  • 단계 21-22: 제로데이 발견 / 최종 보고서

전부 돌릴 수도 있고, 웹 UI에서 체크해 특정 단계만 돌릴 수도 있습니다 — 예를 들어 SSRF와 IDOR만 테스트하고 싶다면 이 둘만 체크하면 되고, 시간도 토큰도 절약됩니다.

세 가지 스캔 모드

일러스트
  • Single target: 알려진 단일 URL 또는 호스트 테스트
  • Wildcard / multi: 와일드카드 다중 대상, 공격 표면 발견과 대량 스캔용
  • DAST: 브라우저 보조 테스트, 웹 애플리케이션·인증 흐름·폼·런타임 동작 전담

DAST 모드가 백미입니다 — 많은 AI 침투 도구는 브라우저 자동화를 지원하지 않아, 로그인이나 SPA 상호작용이 필요한 현대적 웹 애플리케이션 앞에서 무용지물이 됩니다. Xalgorix는 브라우저 계층을 아예 내장해 로그인 절차, 폼 제출, JavaScript 상호작용을 끝까지 통과시킬 수 있습니다.

3단계로 이륙, 60초 완성

환경 요구 사항: Linux + Go 1.24.2+.

Step 1: 클론과 빌드

git clone https://github.com/xalgord/xalgorix.git
cd xalgorix
make build
sudo install -m 755 build/xalgorix /usr/local/bin/xalgorix

make build는 먼저 React 웹 UI를 internal/web/static으로 컴파일한 뒤 Go 바이너리를 컴파일합니다.

Step 2: LLM 구성

~/.xalgorix.env를 생성합니다:

XALGORIX_LLM=minimax/MiniMax-M2.7
XALGORIX_API_KEY=your_provider_api_key

중국 내에서는 MiniMax-M2.7을 추천합니다. 가성비가 좋고 중국어 침투 테스트 보고서에도 우호적입니다. OpenAI, 커스텀 OpenAI 호환 인터페이스, Gemini도 지원합니다.

OpenAI 구성:

XALGORIX_LLM=openai/gpt-5.4
XALGORIX_API_KEY=sk-...

커스텀 OpenAI 호환 (예: 알리 퉁이, Zhipu 등):

XALGORIX_LLM=custom/security-model
XALGORIX_API_BASE=https://your-provider.example/v1
XALGORIX_API_KEY=your_provider_api_key

Step 3: 웹 대시보드 실행

xalgorix --web

브라우저에서 http://127.0.0.1:9137을 열고 바로 시작합니다.

명령줄로도 실행 가능

웹 UI를 쓰기 싫은 하드코어 사용자라면:

xalgorix --target https://example.com

커스텀 지시문을 붙이려면:

xalgorix --target https://app.example.com --instruction "Focus on SQL injection, IDOR, and auth bypass. Avoid destructive tests."

이런 자연어 지시문을 Agent에 직접 먹이면, 말한 대로의 전략으로 실행합니다.

Service Mode: 시스템 서비스로 실행

일러스트

7×24로 대량 스캔을 돌려야 한다면:

sudo xalgorix --start
sudo xalgorix --restart
sudo xalgorix --stop
sudo xalgorix --uninstall

journalctl -u xalgorix -f

원격 브라우저 접근이 필요한가? 반드시 먼저 dashboard 인증을 켜야 합니다:

sudo tee -a /root/.xalgorix.env >/dev/null <<EOF
XALGORIX_BIND=0.0.0.0
XALGORIX_USERNAME=admin
XALGORIX_PASSWORD=change-this
EOF

sudo xalgorix --restart

주의: 인증이 구성되지 않으면 서버가 외부 바인딩을 바로 거부합니다. 이 안전 기본값은 개발자에게 박수를 보낼 만합니다.

통합 생태계

Xalgorix는 섬이 아닙니다:

  • AgentMail: 테스트용 일회성 이메일, 인증 메일 수신, OTP 흐름, 이메일 트리거 이벤트
  • Discord Webhook: 고위험 취약점 실시간 푸시, 최소 심각도 임계값 설정 가능

Discord 구성 예시:

XALGORIX_DISCORD_WEBHOOK=https://discord.com/api/webhooks/...
XALGORIX_DISCORD_MIN_SEVERITY=high

이렇게 하면 high 이상의 발견만 알림이 와서 저위험 정보에 파묻히지 않습니다.

보고서 기능: 고객에게 바로 보낼 수 있는 PDF

많은 오픈소스 도구의 보고서 기능은 우스꽝스럽습니다 — 순수 JSON이거나 Markdown으로 때우거나, 고객에게 바로 인도할 수는 없죠.

Xalgorix의 보고서 모듈은 정성이 들어가 있습니다:

  • Summary: 요약, 대상 메타데이터, 스캔 메타데이터, 심각도 개요
  • Findings: 검증된 발견, CVSS 상세, 기술 분석, 익스플로잇 증명
  • Evidence: PoC 명령어, 스크립트, payload, 뒷받침 관찰 기록
  • Remediation: 수정 가이드, 우선순위 정렬
  • Branding: 회사명, Logo (자체 로고 업로드 가능)

스캔 한 번을 마치면 회사 로고가 들어간 PDF 보고서가 바로 나와 그대로 인도할 수 있습니다. 보안 컨설팅 회사, SRC 팀, 침투 테스트 서비스 업체를 위해 준비된 기능입니다.

안전한 런타임 설계

일러스트

Xalgorix는 '자기가 당하지 않기'에도 공을 들였습니다:

  • 기본적으로 loopback에만 바인딩(127.0.0.1), 인증을 명시적으로 켜야만 외부에 노출됩니다
  • 경로 정책: 파일시스템 쓰기는 data_dir, ~/.xalgorix/, /tmp만 허용하고 나머지는 전부 거부
  • 리소스 인식 인스턴스 제한: 한 대의 머신에서 스캔을 너무 많이 돌려 메모리가 터지는 것을 방지
  • 도구별 하드 타임아웃 워치독: 멈춘 자식 프로세스는 강제 종료
  • 동시성 어드미션 제어: 상한을 초과한 스캔은 거부되며, 무턱대고 작업을 쌓지 않습니다

GET /api/status 인터페이스는 런타임 통계도 노출합니다: panics_recovered, path_rejections, watchdog_kills, admission_refusals, llm_inflight_cap. 이런 식으로 관측 가능성을 표준 API에 담는 접근에서, 저자가 PoC 취미러가 아니라 엔지니어링 파라는 걸 알 수 있습니다.

v4.4.18의 이번 파괴적 변경

업그레이드 주의:스캔 출력, 노트, 스케줄, 기타 생성 데이터는 이제 ~/.xalgorix/data/에 통일 저장됩니다, 더는 바이너리 시작 디렉터리에 두지 않습니다.

구버전 사용자가 기존 동작을 유지하려면:

export XALGORIX_DATA_DIR=$(pwd)

시작 시 $CWD에 notes.json, _schedules/, vulnerabilities.json 같은 구 경로 표식이 감지되면 [MIGRATION] 경고를 띄웁니다 — 하지만 Xalgorix는 이전 파일들을 자동으로 읽거나 복사하거나 삭제하지 않습니다. 단지 마이그레이션을 상기시켜 줄 뿐이고, 데이터를 함부로 건드리지 않는 이 절제가 마음을 편안하게 합니다.

누구에게 적합한가

레드팀 / 침투 테스트 엔지니어: 22단계 방법론 + 자동화 + 자연어 지시문으로 반복 작업에서 해방되어, 수작업 취약점 분석과 심층 분석에 집중할 수 있습니다.

버그바운티 헌터: 와일드카드 대상을 대량 스캔하고,
공격 표면을 자동으로 발견하며, 고위험 취약점을 Discord로 실시간 푸시합니다. 자는 동안 AI가 대신 보상금을 벌어다 줍니다.

SRC 팀 / 블루팀: 주기적으로 자가 점검을 돌려 기업 자산의 공격 표면을 정리합니다. 브랜딩된 PDF 보고서로 바로 상사에게 보고할 수 있습니다.

보안 컨설팅 회사: 서비스 모드로 다고객 격리 스캔을 돌리고, 고객 브랜드 보고서를 출력합니다.

학생 / 연구자: 22단계 방법론 자체가 살아 있는 침투 테스트 교과서이며, 오픈소스이고 읽을 수 있고 수정할 수 있습니다.

이 프로젝트가 주목할 가치가 있는 이유

일러스트

2026년에 AI 침투 테스트 도구는 적지 않지만, Xalgorix 수준의 '완전한 폐쇄 루프'를 이룬 곳은 드뭅니다:

  • Agent만 있고 UI가 없는 게 아니고 (많은 AI 침투 도구는 CLI뿐)
  • UI만 있고 방법론이 없는 게 아니고 (많은 곳이 버튼만 나열)
  • 단일 모델에 묶인 게 아니고 (중국산 MiniMax 포함 모든 OpenAI 호환 인터페이스 지원)
  • 반쪽짜리 출력이 아니고 (브랜딩된 PDF 보고서로 바로 인도 가능)
  • 안전 설계 없이 방치되어 돌아가는 게 아니고 (기본 loopback, 경로 정책, 워치독, 동시성 제어 전부 갖춤)

'AI Agent 두뇌 + 브라우저 자동화 + 도구 체인 + 22단계 방법론 + 웹 UI + 보고서 시스템'을 전부 완성한 이런 공정량은 오픈소스 세계에서 매우 희귀합니다.

안전 사용 안내

마지막으로 공식 원문 한마디를 반드시 강조합니다:

Use Xalgorix only on systems you own or have explicit permission to test.

자신이 소유했거나 명시적으로 테스트 허가를 받은 시스템에서만 Xalgorix를 사용하십시오.

AI 침투 도구의 강력함은 양날의 검입니다 — 취약점을 효율적으로 찾도록 도와주지만, 잘못된 곳에 쓰면 실제 법적 리스크가 됩니다. 승인, 범위, 보고 절차 모두 신경 써야 합니다. 요즘 AI 도구에 당해 구치소행이 되는 사례가 드물지 않으니, 스스로 뉴스가 되지 마세요.

정리

Xalgorix는 또 하나의 AI 침투 PoC가 아니라, 'AI 보안 테스트'라는 일을 엔지니어링하고 제품화한 오픈소스 표본입니다.

보안 업계 종사자라면 공격이든 방어든 clone해서 써볼 가치가 있습니다. 오픈소스에 기여하는 분이라면 이 프로젝트의 Go + React + LLM Agent 아키텍처도 훌륭한 학습 표본입니다.

프로젝트 주소를 다시 한 번:

github.com/xalgord/xalgorix