Português

← Voltar à lista

A cena de pentest mudou da noite para o dia! Xalgorix, plataforma de ataque com IA totalmente automática em 22 estágios, vai a open source — e aceita modelos chineses direto

itadol5j

Capa

O que mais cansa quem trabalha com pentest? Não é escrever relatórios — é o trabalho repetitivo: reconhecimento, brute force de diretórios, teste de pontos de injeção, validação de SSRF, checagem de CORS… Um pentest web padrão exige rodar ao menos uma dúzia de ferramentas, digitar centenas de comandos e ainda juntar os resultados manualmente.

Nos últimos anos, as ferramentas de segurança com IA proliferaram de forma frenética, mas a maioria dos projetos ou roda apenas uma etapa isolada, ou só aceita alguns modelos fixos, ou tem uma UI tão ruim que sobra apenas o esforço bruto na linha de comando.

Até eu conhecer o Xalgorix — este projeto divide toda a metodologia de pentest em 22 estágios, roda tudo de forma totalmente automática, com dashboard web, telemetria em tempo real e relatórios em PDF,e suporta MiniMax, GPT, Claude, Gemini e qualquer interface compatível com OpenAI. Open source, escrito em Go, self-hosted — um make build e está no ar.

Endereço do projeto: github.com/xalgord/xalgorix

O que é o Xalgorix, afinal

Definição em uma frase:uma plataforma de pentest com IA, self-hosted.

Ela combina:

  • um cérebro de Agent movido a LLM
  • automação de navegador (para DAST e cenários que exigem interação)
  • cadeia de ferramentas de terminal (instala automaticamente as ferramentas de segurança comuns conforme a necessidade)
  • uma metodologia de pentest em 22 estágios
  • fluxo de eventos WebSocket em tempo real
  • sistema de gerenciamento de findings (vulnerabilidades + CVSS + estado de verificação)
  • geração de relatórios PDF com marca própria
  • integrações com AgentMail e Discord

Abra o navegador em http://127.0.0.1:9137 e esse é o seu “centro de comando de pentest com IA”.

Metodologia em 22 estágios: do reconhecimento ao zero-day

Este é o ponto que mais me impressionou no Xalgorix — não é aquele modo bruto de “jogar uma URL e deixar a IA se virar”, e sim o pentest dividido em 22 estágios ordenados:

  • Estágios 1-2: reconhecimento / caça manual a vulnerabilidades
  • Estágios 3-4: descoberta de diretórios e arquivos / análise de CORS e Cookies
  • Estágios 5-6: teste de sessões de autenticação / teste de injeção (SQL/XSS/Cmd)
  • Estágios 7-8: teste de SSRF / acesso indevido IDOR
  • Estágios 9-10: teste de APIs e GraphQL / teste de upload de arquivos
  • Estágios 11-12: desserialização e RCE / race conditions e lógica de negócio
  • Estágios 13-14: tomada de subdomínios / teste de Open Redirect
  • Estágios 15-16: teste de segurança de e-mail / nuvem e infraestrutura
  • Estágios 17-18: teste de WebSocket / testes específicos de CMS
  • Estágios 19-20: sequestro de links quebrados / validação de vulnerabilidades
  • Estágios 21-22: descoberta de zero-days / relatório final

Você pode rodar tudo, ou selecionar na Web UI apenas estágios específicos — por exemplo, se só quer testar SSRF e IDOR, marque esses dois e economize tempo e tokens.

Três modos de varredura

Ilustração
  • Single target: testar uma URL ou host conhecido e único
  • Wildcard / multi: múltiplos alvos com curinga, para descoberta de superfície de ataque e varredura em lote
  • DAST: testes com auxílio de navegador, especializados em aplicações web, fluxos de autenticação, formulários e comportamento em execução

O modo DAST é o destaque — muitas ferramentas de pentest com IA não suportam automação de navegador e se perdem em aplicações web modernas que exigem login ou interação em SPA. O Xalgorix já vem com a camada de navegador embutida, capaz de completar fluxos de login, envio de formulários e interação com JavaScript.

Três passos e 60 segundos para decolar

Requisitos de ambiente: Linux + Go 1.24.2 ou superior.

Passo 1: clonar e compilar

git clone https://github.com/xalgord/xalgorix.git
cd xalgorix
make build
sudo install -m 755 build/xalgorix /usr/local/bin/xalgorix

O make build primeiro compila a Web UI em React para internal/web/static e depois compila o binário Go.

Passo 2: configurar o LLM

Crie o arquivo ~/.xalgorix.env:

XALGORIX_LLM=minimax/MiniMax-M2.7
XALGORIX_API_KEY=your_provider_api_key

Na China, o recomendado é o MiniMax-M2.7: ótimo custo-benefício e amigável para relatórios de pentest em chinês. Também há suporte a OpenAI, interfaces personalizadas compatíveis com OpenAI e Gemini.

Configuração do OpenAI:

XALGORIX_LLM=openai/gpt-5.4
XALGORIX_API_KEY=sk-...

OpenAI compatível personalizado (por exemplo, Tongyi da Alibaba, Zhipu etc.):

XALGORIX_LLM=custom/security-model
XALGORIX_API_BASE=https://your-provider.example/v1
XALGORIX_API_KEY=your_provider_api_key

Passo 3: iniciar o dashboard web

xalgorix --web

Abra o navegador em http://127.0.0.1:9137 e mãos à obra.

Também roda pela linha de comando

Para os usuários hardcore que não querem a Web UI:

xalgorix --target https://example.com

Com instruções personalizadas:

xalgorix --target https://app.example.com --instruction "Focus on SQL injection, IDOR, and auth bypass. Avoid destructive tests."

Esse tipo de instrução em linguagem natural vai direto para o Agent, que executa a estratégia conforme você orientou.

Service Mode: rodando como serviço do sistema

Ilustração

Para quem precisa de varreduras em lote 24 horas por dia, 7 dias por semana:

sudo xalgorix --start
sudo xalgorix --restart
sudo xalgorix --stop
sudo xalgorix --uninstall

journalctl -u xalgorix -f

Quer acesso remoto pelo navegador? É obrigatório ativar antes a autenticação do dashboard:

sudo tee -a /root/.xalgorix.env >/dev/null <<EOF
XALGORIX_BIND=0.0.0.0
XALGORIX_USERNAME=admin
XALGORIX_PASSWORD=change-this
EOF

sudo xalgorix --restart

Atenção: sem autenticação configurada, o servidor recusa qualquer bind externo. Esse padrão seguro merece aplausos para o autor.

Ecossistema de integrações

O Xalgorix não é uma ilha:

  • AgentMail: e-mails descartáveis para testes, recebimento de e-mails de verificação, fluxos de OTP e eventos acionados por e-mail
  • Discord Webhook: push em tempo real de vulnerabilidades de alta severidade, com limite mínimo de severidade configurável

Exemplo de configuração do Discord:

XALGORIX_DISCORD_WEBHOOK=https://discord.com/api/webhooks/...
XALGORIX_DISCORD_MIN_SEVERITY=high

Assim, apenas findings de severidade high ou superior geram notificação, evitando que você seja afogado em alertas de baixa gravidade.

Relatórios: PDF pronto para entregar ao cliente

Em muitas ferramentas open source, o recurso de relatórios é uma piada — ou é JSON puro, ou um Markdown improvisado, impossível de entregar direto ao cliente.

O módulo de relatórios do Xalgorix foi realmente lapidado:

  • Summary: sumário executivo, metadados do alvo, metadados da varredura, visão geral de severidades
  • Findings: descobertas validadas, detalhes de CVSS, análise técnica, prova de exploração
  • Evidence: comandos de PoC, scripts, payloads e observações de suporte
  • Remediation: guias de correção e priorização
  • Branding: nome da empresa e logo (você pode enviar o seu)

Ao fim de uma varredura, sai direto um relatório em PDF com o logo da sua empresa, pronto para entrega. É um recurso feito para consultorias de segurança, equipes de SRC e prestadores de serviço de pentest.

Design de runtime seguro

Ilustração

O Xalgorix se esforça para “não ser comprometido”:

  • por padrão, faz bind apenas no loopback(127.0.0.1); é obrigatório ativar explicitamente a autenticação para expor externamente
  • Política de caminhos: a escrita no sistema de arquivos só é permitida em data_dir, ~/.xalgorix/ e /tmp; todo o resto é recusado
  • Limite de instâncias sensível a recursos: evita estourar a memória rodando varreduras demais em uma só máquina
  • Watchdog com hard timeout por ferramenta: processos filhos travados são finalizados à força
  • Controle de admissão de concorrência: varreduras acima do limite são recusadas; não empilha tarefas às cegas

A interface GET /api/status também expõe estatísticas de runtime: panics_recovered, path_rejections, watchdog_kills, admission_refusals, llm_inflight_cap. Colocar observabilidade em uma API padrão mostra que o autor é da escola da engenharia, não da escola do PoC.

As breaking changes da v4.4.18

Atenção na atualização:saídas de varredura, notas, agendamentos e demais dados gerados agora ficam unificados em ~/.xalgorix/data/, e não mais no diretório onde o binário foi iniciado.

Para manter o comportamento antigo:

export XALGORIX_DATA_DIR=$(pwd)

Na inicialização, se forem detectados em $CWD marcadores antigos como notes.json, _schedules/ e vulnerabilities.json, é emitido um aviso [MIGRATION] — mas o Xalgorix não lê, copia ou apaga automaticamenteesses arquivos antigos. Apenas lembra você da migração, sem mexer nos dados — uma contenção que tranquiliza.

Para quem é

Red team / engenheiros de pentest: a metodologia em 22 estágios + automação + instruções em linguagem natural libertam você do trabalho repetitivo, para se concentrar na caça manual e na análise profunda.

Caçadores de Bug Bounty: varredura em lote de alvos curinga
, descoberta automática de superfície de ataque, push em tempo real de vulnerabilidades de alta severidade no Discord. Deixe a IA ganhar bounties por você enquanto dorme.

Equipes de SRC / blue team: rode autoavaliações periódicas e mapeie a superfície de ataque dos ativos da empresa. Relatórios PDF com a sua marca, prontos para apresentar ao chefe.

Consultorias de segurança: ative o modo serviço, com varreduras isoladas por cliente e relatórios com a marca de cada um.

Estudantes / pesquisadores: a metodologia em 22 estágios é, por si só, um manual vivo de pentest — open source, legível e modificável.

Por que este projeto merece atenção

Ilustração

Em 2026 não faltam ferramentas de pentest com IA, mas poucas chegam ao “ciclo completo” do Xalgorix:

  • não é só um Agent sem UI (muitas ferramentas de pentest com IA são só linha de comando)
  • não é só uma UI sem metodologia (muitas são apenas botões empilhados)
  • não fica preso a um único modelo (suporta qualquer interface compatível com OpenAI, incluindo o MiniMax chinês)
  • não entrega meia-obra (relatório PDF com marca, pronto para o cliente)
  • não roda sem design de segurança (loopback por padrão, política de caminhos, watchdog e controle de concorrência, tudo incluído)

Completar “cérebro de AI Agent + automação de navegador + cadeia de ferramentas + metodologia em 22 estágios + Web UI + sistema de relatórios” é um volume de engenharia raro no mundo open source.

Aviso de uso seguro

Por fim, é obrigatório reforçar a frase oficial:

Use Xalgorix only on systems you own or have explicit permission to test.

Use o Xalgorix apenas em sistemas que você possui ou tem permissão explícita para testar.

O poder das ferramentas de pentest com IA é uma faca de dois gumes — elas ajudam a encontrar vulnerabilidades com eficiência, mas, no lugar errado, viram risco jurídico real. Autorização, escopo e fluxo de relatório devem ser levados a sério. Hoje em dia não é raro ver casos de gente que se deu mal com ferramentas de IA; não vire notícia.

Conclusão

O Xalgorix não é mais um PoC de pentest com IA: é um exemplo open source de como transformar “testes de segurança com IA” em engenharia e produto.

Se você trabalha com segurança, na ofensa ou na defesa, vale clonar e experimentar. Se você contribui com open source, a arquitetura Go + React + LLM Agent deste projeto também é uma ótima referência de estudo.

O endereço do projeto, mais uma vez:

github.com/xalgord/xalgorix