Polski

← Powrót do listy

W świecie pentestów wszystko zmieniło się w jedną noc! Xalgorix: otwarta platforma ataków AI z 22 etapami, chińskie modele podłączasz od razu

itadol5j

Okładka

Co w pentestach męczy najbardziej? Nie pisanie raportów, tylko powtarzalna robota — rekonesans, fuzzing katalogów, testowanie punktów wstrzyknięć, weryfikacja SSRF, sprawdzanie CORS…… Standardowy pentest webowy wymaga uruchomienia co najmniej kilkunastu narzędzi, wyklepania kilkuset komend i ręcznego poskładania wyników.

Narzędzia bezpieczeństwa AI ostro się w ostatnich latach rozkręciły, ale większość projektów albo potrafi przejść tylko jeden etap, albo obsługuje kilka z góry ustalonych modeli, albo ma tak kiepski UI, że zostaje klepanie w terminalu.

Aż natrafiłem na Xalgorix — ten projekt rozbija całą metodologię pentestową na 22 etapy, uruchamia je w pełni automatycznie i ma panel webowy, telemetrykę w czasie rzeczywistym oraz raporty PDF,obsługuje MiniMax, GPT, Claude, Gemini i dowolny interfejs zgodny z OpenAI. Open source, napisany w Go, self-hosted — jedno make build i startujesz.

Adres projektu: github.com/xalgord/xalgorix

Czym właściwie jest Xalgorix

Definicja w jednym zdaniu:samohostowana platforma pentestów AI.

Łączy w sobie:

  • mózg Agenta napędzany LLM-em
  • automatyzację przeglądarki (do DAST i scenariuszy wymagających interakcji)
  • łańcuch narzędzi terminalowych (popularne narzędzia bezpieczeństwa instalowane automatycznie, gdy są potrzebne)
  • metodologię pentestową złożoną z 22 etapów
  • strumień zdarzeń WebSocket w czasie rzeczywistym
  • system zarządzania znaleziskami (podatność + CVSS + status weryfikacji)
  • generowanie brandowanych raportów PDF
  • integrację z AgentMail i Discord

Wpisujesz w przeglądarce http://127.0.0.1:9137 i masz przed sobą własne „centrum dowodzenia pentestami AI”.

Metodologia 22 etapów: od rekonesansu po zero-day

To właśnie najbardziej mnie tu uderzyło — Xalgorix nie działa w prymitywnym trybie „rzuć URL i niech AI samo kombinuje”, tylko rozbija pentest na 22 uporządkowane etapy:

  • Etapy 1-2: rekonesans / ręczne poszukiwanie podatności
  • Etapy 3-4: odkrywanie katalogów i plików / analiza CORS i ciasteczek
  • Etapy 5-6: testy sesji i uwierzytelniania / testy wstrzyknięć (SQL/XSS/Cmd)
  • Etapy 7-8: testy SSRF / nieuprawniony dostęp do danych (IDOR)
  • Etapy 9-10: testy API i GraphQL / testy wysyłania plików
  • Etapy 11-12: deserializacja i RCE / warunki wyścigu i logika biznesowa
  • Etapy 13-14: przejęcie subdomen / testy Open Redirect
  • Etapy 15-16: testy bezpieczeństwa poczty / chmura i infrastruktura
  • Etapy 17-18: testy WebSocket / testy dedykowane dla CMS
  • Etapy 19-20: przejęcie martwych linków / weryfikacja podatności
  • Etapy 21-22: wykrywanie zero-day / raport końcowy

Możesz odpalić wszystko albo zaznaczyć w web UI tylko wybrane etapy — powiedzmy, że chcesz przetestować wyłącznie SSRF i IDOR: zaznaczasz te dwa i po sprawie, oszczędzasz czas i tokeny.

Trzy tryby skanowania

Ilustracja
  • Single target: testowanie pojedynczego, znanego URL-a lub hosta
  • Wildcard / multi: wiele celów przez wildcard, do odkrywania powierzchni ataku i skanowania masowego
  • DAST: testy wspomagane przeglądarką, nastawione na aplikacje webowe, przepływy uwierzytelniania, formularze i zachowanie w runtime

Tryb DAST jest tu gwiazdą — wiele narzędzi pentestowych AI nie obsługuje automatyzacji przeglądarki i kapituluje wobec nowoczesnych aplikacji webowych wymagających logowania czy interakcji w SPA. Xalgorix ma wbudowaną warstwę przeglądarki, dzięki czemu przechodzi cały proces logowania, wysyłanie formularzy i interakcje w JavaScripcie.

Trzy kroki do startu, gotowe w 60 sekund

Wymagania: Linux + Go 1.24.2+.

Krok 1: klonowanie i kompilacja

git clone https://github.com/xalgord/xalgorix.git
cd xalgorix
make build
sudo install -m 755 build/xalgorix /usr/local/bin/xalgorix

make build najpierw buduje Reactowy web UI do katalogu internal/web/static, a potem kompiluje binarkę Go.

Krok 2: konfiguracja LLM

Utwórz ~/.xalgorix.env:

XALGORIX_LLM=minimax/MiniMax-M2.7
XALGORIX_API_KEY=your_provider_api_key

W Chinach polecany jest MiniMax-M2.7: świetny stosunek ceny do jakości i dobre radzenie sobie z chińskojęzycznymi raportami pentestowymi. Obsługiwane są też OpenAI, własne interfejsy zgodne z OpenAI oraz Gemini.

Konfiguracja OpenAI:

XALGORIX_LLM=openai/gpt-5.4
XALGORIX_API_KEY=sk-...

Własny interfejs zgodny z OpenAI (na przykład Qwen od Alibaby, Zhipu itd.):

XALGORIX_LLM=custom/security-model
XALGORIX_API_BASE=https://your-provider.example/v1
XALGORIX_API_KEY=your_provider_api_key

Krok 3: uruchomienie panelu webowego

xalgorix --web

Otwórz w przeglądarce http://127.0.0.1:9137 i do roboty.

Da się też z poziomu terminala

Dla hardcorowców, którzy nie chcą web UI:

xalgorix --target https://example.com

Z własnymi instrukcjami:

xalgorix --target https://app.example.com --instruction "Focus on SQL injection, IDOR, and auth bypass. Avoid destructive tests."

Taka instrukcja w języku naturalnym trafia prosto do Agenta i to według niej dobiera on strategię działania.

Service Mode: działanie jako usługa systemowa

Ilustracja

Dla tych, którzy potrzebują skanów masowych 7×24:

sudo xalgorix --start
sudo xalgorix --restart
sudo xalgorix --stop
sudo xalgorix --uninstall

journalctl -u xalgorix -f

Chcesz zdalnego dostępu do przeglądarki? Najpierw musisz włączyć uwierzytelnianie panelu:

sudo tee -a /root/.xalgorix.env >/dev/null <<EOF
XALGORIX_BIND=0.0.0.0
XALGORIX_USERNAME=admin
XALGORIX_PASSWORD=change-this
EOF

sudo xalgorix --restart

Uwaga: bez skonfigurowanego uwierzytelniania serwer po prostu odrzuca wiązanie adresu zewnętrznego. Ta bezpieczna wartość domyślna zasługuje na brawa dla autora.

Ekosystem integracji

Xalgorix nie jest samotną wyspą:

  • AgentMail: jednorazowe skrzynki do testów, weryfikacja odbioru maili, przepływy OTP, zdarzenia wyzwalane mailem
  • Discord Webhook: powiadomienia o krytycznych podatnościach w czasie rzeczywistym, z możliwością ustawienia minimalnego progu ważności

Przykładowa konfiguracja Discord:

XALGORIX_DISCORD_WEBHOOK=https://discord.com/api/webhooks/...
XALGORIX_DISCORD_MIN_SEVERITY=high

Dzięki temu dostajesz powiadomienia tylko o znaleziskach na poziomie high i wyższym, więc nie toniesz w informacjach o niskiej wadze.

Raporty: PDF, który można od razu wysłać klientowi

W wielu narzędziach open source funkcja raportowania to kpina — albo czysty JSON, albo Markdown na odczepnego; niczego nie da się przekazać klientowi.

Moduł raportów Xalgorix to naprawdę zrobiona robota:

  • Summary: podsumowanie dla zarządu, metadane celu, metadane skanu, przegląd poziomów ważności
  • Findings: zweryfikowane znaleziska, szczegóły CVSS, analiza techniczna, dowód wykorzystania
  • Evidence: komendy PoC, skrypty, payloady, obserwacje potwierdzające
  • Remediation: wskazówki naprawcze, priorytetyzacja
  • Branding: nazwa firmy, Logo (możesz wgrać własne)

Po jednym skanie dostajesz PDF z logo twojej firmy, gotowy do przekazania. To funkcja stworzona dla firm doradztwa bezpieczeństwa, zespołów SRC i dostawców usług pentestowych.

Bezpieczny projekt runtime'u

Ilustracja

Xalgorix sporo namyślił się nad tym, by sam nie dał się zrobić:

  • Domyślnie wiązany wyłącznie loopback(127.0.0.1) — żeby wystawić go na zewnątrz, trzeba jawnie włączyć uwierzytelnianie
  • Polityka ścieżek: zapis w systemie plików dozwolony tylko do data_dir, ~/.xalgorix/ i /tmp, wszystko inne jest odrzucane
  • Ograniczenia instancji uwzględniające zasoby: żeby zbyt wiele skanów na jednej maszynie nie wysadziło pamięci
  • Watchdog z twardym timeoutem dla każdego narzędzia: zawieszone procesy potomne są po prostu zabijane
  • Kontrola admitancji przy współbieżności: skany powyżej limitu są odrzucane, zadania nie piętrzą się bez sensu

Endpoint GET /api/status wystawia też statystyki runtime'u: panics_recovered, path_rejections, watchdog_kills, admission_refusals, llm_inflight_cap. Takie wpisanie obserwowalności prosto do standardowego API zdradza, że autor jest inżynierem, a nie twórcą PoC.

Breaking changes w v4.4.18

Uwaga przy aktualizacji:Wyniki skanów, notatki, harmonogramy i inne generowane dane trafiają teraz do jednego katalogu ~/.xalgorix/data/, a nie do katalogu, z którego uruchamiana jest binarka.

Stary użytkownik, który chce zachować poprzednie zachowanie:

export XALGORIX_DATA_DIR=$(pwd)

Jeśli przy starcie w $CWD zostaną wykryte stare znaczniki ścieżek, takie jak notes.json, _schedules/ czy vulnerabilities.json, pojawi się ostrzeżenie [MIGRATION] — ale Xalgorix nie czyta, nie kopiuje i nie usuwatych starych plików. Tylko przypomina o migracji i nie robi bałaganu w danych — ta powściągliwość uspokaja.

Dla kogo to narzędzie

Red team / inżynierowie pentestów: metodologia 22 etapów + automatyzacja + instrukcje w języku naturalnym uwalniają cię od powtarzalnej roboty, więc możesz skupić się na ręcznym szukaniu dziur i głębokiej analizie.

Łowcy Bug Bounty: masowe skany razem z cele
z wildcardem, automatyczne odkrywanie powierzchni ataku, powiadomienia o krytycznych na Discord na żywo. Śpij, a AI zarabia dla ciebie nagrody.

Zespoły SRC / blue team: okresowe skany własne, uporządkowana powierzchnia ataku zasobów firmy. Brandowany raport PDF prosto na biurko szefa.

Firmy doradztwa bezpieczeństwa: tryb usługowy, odizolowane skany dla wielu klientów, raporty w brandingu klienta.

Studenci / badacze: sama metodologia 22 etapów to żywy podręcznik pentestowania — otwarty, czytelny, modyfikowalny.

Dlaczego ten projekt zasługuje na uwagę

Ilustracja

W 2026 roku narzędzi do pentestów AI jest sporo, ale niewiele z nich domyka pętlę tak kompletnie jak Xalgorix:

  • nie jest tak, że jest Agent, a nie ma UI (wiele narzędzi pentestowych AI to wyłącznie terminal)
  • nie jest tak, że jest UI, a nie ma metodologii (wiele to tylko sterta przycisków)
  • nie jest przywiązane do jednego modelu (obsługuje dowolny interfejs zgodny z OpenAI, w tym chiński MiniMax)
  • nie daje półproduktu na wyjściu (PDF z brandingiem, gotowy do przekazania)
  • nie jest gołym uruchomieniem bez projektu bezpieczeństwa (domyślny loopback, polityka ścieżek, watchdog, kontrola współbieżności — wszystko jest)

Zrobić w całości „mózg Agenta AI + automatyzację przeglądarki + łańcuch narzędzi + metodologię 22 etapów + web UI + system raportów” — taki nakład pracy w świecie open source jest rzadkością.

Przypomnienie o bezpiecznym użytkowaniu

Na koniec trzeba mocno podkreślić oficjalne słowa twórców:

Use Xalgorix only on systems you own or have explicit permission to test.

Używaj Xalgorix wyłącznie w systemach, które posiadasz lub które masz wyraźne uprawnienie testować.

Potęga narzędzi pentestowych AI to miecz obosieczny — pomagają sprawnie wykrywać podatności, ale użyte nie tam, gdzie trzeba, oznaczają realne ryzyko prawne. Uprawnienia, zakres i proces raportowania muszą być dopięte. W dzisiejszych czasach przypadków, gdy ktoś przez narzędzie AI wpadł w tarapaty prawne, nie brakuje — sam nie zostań newsem.

Podsumowanie

Xalgorix to nie kolejny PoC pentestów AI, lecz otwarty przykład tego, jak „testy bezpieczeństwa AI” przełożyć na inżynierię i produkt.

Jeśli pracujesz w branży bezpieczeństwa, czy to po stronie ataku, czy obrony, warto go sklonować i sprawdzić. Jeśli chcesz kontrybuować do open source, architektura Go + React + LLM Agent też jest niezłym materiałem do nauki.

Adres projektu jeszcze raz:

github.com/xalgord/xalgorix