Nederlands

← Terug naar overzicht

De pentestwereld is in één nacht omgeslagen! Xalgorix opent zijn 22-fasen volautomatisch AI-aanvalsplatform als open source — plug direct Chinese modellen in

itadol5j

Cover

Wat is het zwaarst in het vak van pentester? Niet het schrijven van rapporten, maar de repeterende arbeid — reconnaisance, directory brute-forcing, injectietests, SSRF-validatie, CORS-checks … Een standaard webpentest vergt al snel een dozijn tools en honderden getypte commando's, en daarna nog het handmatig aan elkaar plakken van de resultaten.

De afgelopen jaren schieten AI-securitytools als paddenstoelen uit de grond, maar de meeste projecten kunnen slechts één fase aan, binden je aan een handjevol vaste modellen, of hebben zo'n lelijke UI dat je gedwongen via de commandline werkt.

Tot ik Xalgorix tegenkwam — dit project splitst de volledige pentestmethodiek in 22 fasen die volautomatisch draaien, met webdashboard, realtime telemetrie en PDF-rapportage,met ondersteuning voor MiniMax, GPT, Claude, Gemini en elke OpenAI-compatibele interface. Open source, geschreven in Go, self-hosted, en met één make build ben je in de lucht.

Projectadres: github.com/xalgord/xalgorix

Wat is Xalgorix nu eigenlijk?

De definitie in één zin:een self-hosted AI-pentestplatform.

Het combineert:

  • een door een LLM aangedreven Agent-brein
  • browserautomatisering (voor DAST en scenario's die interactie vereisen)
  • een toolketen in de terminal (installeert gangbare securitytools automatisch op verzoek)
  • een 22-fasen pentestmethodiek
  • realtime WebSocket-eventstreams
  • een findings-managementsysteem (kwetsbaarheden + CVSS + verificatiestatus)
  • generatie van PDF-rapporten in huisstijl
  • integraties met AgentMail en Discord

Open je browser op http://127.0.0.1:9137 en je staat in je 'AI-pentestcommandocentrum'.

De 22-fasenmethodiek: van reconnaisance tot zero-day

Dit is het punt waarop Xalgorix mij het meest trof — het is niet het gemakzuchtige 'gooi een URL in en laat de AI zijn plan trekken', maar een pentest die opgedeeld is in 22 geordende fasen:

  • Fase 1-2: reconnaisance / handmatig zoeken naar kwetsbaarheden
  • Fase 3-4: directory- en bestandsontdekking / CORS- en Cookie-analyse
  • Fase 5-6: authenticatie- en sessietests / injectietests (SQL/XSS/Cmd)
  • Fase 7-8: SSRF-tests / IDOR-onbevoegde toegang
  • Fase 9-10: API- en GraphQL-tests / tests op bestandsuploads
  • Fase 11-12: deserialisatie en RCE / race conditions en bedrijfslogica
  • Fase 13-14: subdomein-takeover / Open Redirect-tests
  • Fase 15-16: e-mailsecuritytests / cloud en infrastructuur
  • Fase 17-18: WebSocket-tests / specifieke CMS-tests
  • Fase 19-20: broken link hijacking / verificatie van kwetsbaarheden
  • Fase 21-22: zero-day-ontdekking / eindrapport

Je kunt alles laten draaien, of in de web-UI alleen specifieke fasen aanvinken — wil je bijvoorbeeld alleen SSRF en IDOR testen, vink dan die twee aan: tijdwinst en minder tokens.

Drie scanmodi

Illustratie
  • Single target: één bekende URL of host testen
  • Wildcard / multi: wildcard met meerdere doelen, voor attack surface discovery en batchscans
  • DAST: browserondersteunde tests, specifiek voor webapplicaties, authenticatiestromen, formulieren en runtimegedrag

De DAST-modus is het hoogtepunt — veel AI-pentesttools missen browserautomatisering en raken blind zodra een moderne webapplicatie een login of SPA-interactie vereist. Xalgorix heeft die browserlaag ingebouwd en doorloopt volledige loginflows, formulierinzendingen en JavaScript-interacties.

In drie stappen de lucht in, klaar in 60 seconden

Systeemvereisten: Linux + Go 1.24.2+.

Stap 1: klonen en compileren

git clone https://github.com/xalgord/xalgorix.git
cd xalgorix
make build
sudo install -m 755 build/xalgorix /usr/local/bin/xalgorix

make build compileert eerst de React-web-UI naar internal/web/static en daarna de Go-binary.

Stap 2: het LLM configureren

Maak ~/.xalgorix.env aan:

XALGORIX_LLM=minimax/MiniMax-M2.7
XALGORIX_API_KEY=your_provider_api_key

Voor gebruikers in China is MiniMax-M2.7 een aanrader: sterke prijs-kwaliteitverhouding en goed geschikt voor pentestrapporten in het Chinees. Ook OpenAI, een eigen OpenAI-compatibele interface en Gemini worden ondersteund.

OpenAI-configuratie:

XALGORIX_LLM=openai/gpt-5.4
XALGORIX_API_KEY=sk-...

Eigen OpenAI-compatibele configuratie (bijvoorbeeld Alibaba Tongyi of Zhipu):

XALGORIX_LLM=custom/security-model
XALGORIX_API_BASE=https://your-provider.example/v1
XALGORIX_API_KEY=your_provider_api_key

Stap 3: het webdashboard starten

xalgorix --web

Open http://127.0.0.1:9137 in je browser en ga los.

Het kan ook via de commandline

Voor de hardcore gebruiker die de web-UI links laat liggen:

xalgorix --target https://example.com

Met eigen instructies:

xalgorix --target https://app.example.com --instruction "Focus on SQL injection, IDOR, and auth bypass. Avoid destructive tests."

Zo'n instructie in natuurlijke taal voer je rechtstreeks aan de Agent; die draait volgens jouw strategie.

Service Mode: draaien als systeemservice

Illustratie

Voor wie batchscans 7×24 moet draaien:

sudo xalgorix --start
sudo xalgorix --restart
sudo xalgorix --stop
sudo xalgorix --uninstall

journalctl -u xalgorix -f

Wil je het dashboard ook op afstand in een browser kunnen openen? Dan moet je eerst dashboard-authenticatie aanzetten:

sudo tee -a /root/.xalgorix.env >/dev/null <<EOF
XALGORIX_BIND=0.0.0.0
XALGORIX_USERNAME=admin
XALGORIX_PASSWORD=change-this
EOF

sudo xalgorix --restart

Let op: zonder geconfigureerde authenticatie weigert de server externe binding direct. Zo'n veilige standaardinstelling verdient een compliment voor de maker.

Integratie-ecosysteem

Xalgorix is geen eiland:

  • AgentMail: eenmalige testmailadressen, ontvangst van verificatiemails, OTP-flows en e-mailgetriggerde events
  • Discord Webhook: realtime pushberichten bij kritieke kwetsbaarheden, met instelbare minimale ernstdrempel

Voorbeeldconfiguratie voor Discord:

XALGORIX_DISCORD_WEBHOOK=https://discord.com/api/webhooks/...
XALGORIX_DISCORD_MIN_SEVERITY=high

Zo krijg je alleen meldingen van findings met ernst 'high' of hoger en verzuip je niet in laagdrempelige ruis.

Rapportage: PDF's die je rechtstreeks naar klanten kunt sturen

Bij veel open-source tools is de rapportagemodule een grapje — of alleen JSON, of wat losse Markdown; aan klanten leverbaar is het hoe dan ook niet.

De rapportagemodule van Xalgorix is wél met zorg gebouwd:

  • Summary: managementsamenvatting, doelmetadata, scanmetadata en overzicht van ernstniveaus
  • Findings: geverifieerde bevindingen, CVSS-details, technische analyse en proof of exploitatie
  • Evidence: PoC-commando's, scripts, payloads en ondersteunende observaties
  • Remediation: herstelrichtlijnen en prioritering
  • Branding: bedrijfsnaam en logo (je eigen logo kun je uploaden)

Na één scan rolt er meteen een PDF-rapport met je bedrijfslogo uit, direct klaar voor levering. Precies een feature voor securityconsultants, SRC-teams en pentestproviders.

Veilig runtime-ontwerp

Illustratie

Xalgorix heeft goed nagedacht over 'niet zelf het slachtoffer worden':

  • standaard alleen gebonden aan loopback(127.0.0.1); blootstelling naar buiten vereist expliciet ingeschakelde authenticatie
  • padbeleid: schrijfbewerkingen op het bestandssysteem zijn alleen toegestaan in data_dir, ~/.xalgorix/ en /tmp; al het overige wordt geweigerd
  • resourcebewuste instantielimieten: voorkomt dat één machine bij te veel parallelle scans het geheugen opblaast
  • harde per-tool timeout-watchdog: hangende subprocessen worden geforceerd beëindigd
  • toegangscontrole voor gelijktijdige scans: scans boven de limiet worden geweigerd; taken stapelen zich niet blindeling op

Het GET /api/status-endpoint publiceert bovendien runtime-statistieken: panics_recovered, path_rejections, watchdog_kills, admission_refusals, llm_inflight_cap. Dat observability zo in de standaard-API zit, verraadt een maker van de engineeringsschool, niet van de PoC-school.

De breaking changes in v4.4.18

Let op bij het upgraden:scan-uitvoer, notities, planningen en overige gegenereerde data worden nu centraal opgeslagen in ~/.xalgorix/data/, niet langer in de startmap van de binary.

Bestaande gebruikers die het oude gedrag willen behouden:

export XALGORIX_DATA_DIR=$(pwd)

Detecteert de opstartprocedure in $CWD oude padmarkeringen zoals notes.json, _schedules/ en vulnerabilities.json, dan verschijnt een [MIGRATION]-waarschuwing — maar Xalgorix leest, kopieert of verwijdert niets automatischin die oude bestanden. Het is alleen een herinnering om te migreren; je data blijft ongemoeid. Die terughoudendheid stelt gerust.

Voor wie is het bedoeld?

Redteams / pentestengineers: de 22-fasenmethodiek plus automatisering plus natuurlijke-taalinstructies bevrijden je van repeterend werk, zodat je je op handmatig kwetsbaarhedenzoeken en diepe analyse kunt richten.

Bug bounty-jagers: batchscans over wild
card-doelen, automatische attack-surface-discovery en realtime push van kritieke bevindingen via Discord. Laat de AI 's nachts je bounty verdienen.

SRC-teams / blue teams: draai regelmatig zelfscans en breng het attack surface van bedrijfsassets in kaart. Rapporteer rechtstreeks aan de baas met een PDF in huisstijl.

Securityadviesbureaus: zet de servicemodus aan, scan geïsoleerd per klant en lever rapporten in de huisstijl van de klant.

Studenten / onderzoekers: de 22-fasenmethodiek is op zich al een levend pentesthandboek — open source, leesbaar en aanpasbaar.

Waarom dit project je aandacht verdient

Illustratie

In 2026 zijn er heel wat AI-pentesttools, maar weinigen halen de 'volledige cirkel' die Xalgorix sluit:

  • niet alleen een Agent zonder UI (veel AI-pentesttools hebben slechts een commandline)
  • niet alleen een UI zonder methodiek (veel zijn niet meer dan een stapel knoppen)
  • niet vastgeroest aan één model (elke OpenAI-compatibele interface wordt ondersteund, waaronder het Chinese MiniMax)
  • geen halve producten als output (PDF-rapporten met huisstijl, direct leverbaar)
  • niet onbeveiligd de lucht in (loopback als standaard, padbeleid, watchdog en gelijktijdigheidsbeheer zijn er allemaal)

Het volledige pakket — 'AI-Agent-brein + browserautomatisering + toolketen + 22-fasenmethodiek + web-UI + rapportagesysteem' — afwerken is engineeringarbeid die in open-sourcekringen zeldzaam is.

Waarschuwing voor veilig gebruik

Tot slot mogen we de officiële woorden niet vergeten:

Use Xalgorix only on systems you own or have explicit permission to test.

Gebruik Xalgorix alleen op systemen die je bezit of waarvoor je expliciete toestemming hebt om te testen.

De kracht van AI-pentesttools is een mes dat aan twee kanten snijdt — het helpt je efficiënt kwetsbaarheden vinden, maar op de verkeerde plek gebruikt wordt het een reëel juridisch risico. Autorisatie, scope en rapportageprocedure verdienen alle drie aandacht. Het aantal verhalen over mensen die dankzij AI-tools in aanraking kwamen met justitie is niet klein; word zelf geen krantenkop.

Conclusie

Xalgorix is niet zomaar weer een AI-pentest-PoC; het is een open-sourcevoorbeeld van hoe 'AI-gedreven securitytesting' tot in de puntjes wordt geconstrueerd en geproduceerd.

Werk je in security — of nu in aanval of verdediging — kloon het dan en probeer het uit. En wil je bijdragen aan open source, dan is de Go + React + LLM Agent-architectuur van dit project een prima leermiddel.

Nog een keer het projectadres:

github.com/xalgord/xalgorix