Română

← Înapoi la listă

Lumea pentesting-ului s-a schimbat peste noapte! Xalgorix, platforma AI de atac complet automatizată în 22 de etape, devine open source și se conectează direct la modelele chinezești

itadol5j

Copertă

Ce e cel mai obositor în industria pentesting? Nu scrierea rapoartelor, ci munca repetitivă — recunoaștere, forțarea directoarelor, testarea punctelor de injectare, verificarea SSRF, verificări CORS... Un pentest Web standard cere măcar o duzină de instrumente rulate, sute de comenzi tastate și apoi asamblarea manuală a rezultatelor.

În ultimii ani, instrumentele AI de securitate au explodat, dar majoritatea proiectelor fie rulează doar o singură etapă, fie acceptă doar câteva modele fixe, fie au un UI atât de slab încât nu rămâne decât linia de comandă.

Până când am văzut Xalgorix — proiectul care împarte întreaga metodologie de pentesting în 22 de etape rulate complet automat, cu dashboard Web, telemetrie în timp real și rapoarte PDF,suportă MiniMax, GPT, Claude, Gemini și orice interfață compatibilă OpenAI. Open source, scris în Go, self-hosted; un make build și decolezi.

Adresa proiectului: github.com/xalgord/xalgorix

Ce este de fapt Xalgorix

Definiție într-o frază:o platformă AI self-hosted pentru testare de penetrare.

Combină:

  • un creier de Agent acționat de LLM
  • automatizare de browser (pentru DAST și scenariile care cer interacțiune)
  • un lanț de instrumente pentru terminal (instalează automat uneltele de securitate uzuale, la nevoie)
  • o metodologie de pentesting în 22 de etape
  • fluxuri de evenimente WebSocket în timp real
  • un sistem de gestionare a constatărilor (vulnerabilități + CVSS + stare de validare)
  • generare de rapoarte PDF cu branding
  • integrări AgentMail și Discord

Deschizi browserul la http://127.0.0.1:9137 și ajungi chiar în „centrul de comandă AI pentru pentesting”.

Metodologia în 22 de etape: de la recunoaștere la zero-day

Aici e partea care m-a impresionat cel mai mult la Xalgorix — nu e modelul brutal de tip „arunci un URL și lasi AI-ul să se descurce”, ci împarte pentesting-ul în 22 de etape ordonate:

  • Etapele 1-2: recunoaștere / căutare manuală de vulnerabilități
  • Etapele 3-4: descoperirea fișierelor și directoarelor / analiza CORS și Cookie
  • Etapele 5-6: testarea sesiunilor de autentificare / testarea injectărilor (SQL/XSS/Cmd)
  • Etapele 7-8: testarea SSRF / acces neautorizat IDOR
  • Etapele 9-10: testarea API și GraphQL / testarea încărcării fișierelor
  • Etapele 11-12: deserializare și RCE / condiții de cursă și logica de business
  • Etapele 13-14: preluarea subdomeniilor / testarea Open Redirect
  • Etapele 15-16: testarea securității e-mailurilor / cloud și infrastructură
  • Etapele 17-18: testarea WebSocket / teste specifice CMS
  • Etapele 19-20: deturnarea linkurilor moarte / validarea vulnerabilităților
  • Etapele 21-22: descoperirea de zero-day / raportul final

Poți rula tot, sau poți bifa în Web UI doar anumite etape — de exemplu, dacă vrei doar testarea SSRF și IDOR, bifezi aceste două și economisești timp și Tokeni.

Trei moduri de scanare

Ilustrație
  • Single target: testezi un URL sau un host cunoscut, unic
  • Wildcard / multi: ținte multiple cu wildcard, pentru descoperirea suprafeței de atac și scanări în masă
  • DAST: teste asistate de browser, specializate pe aplicații Web, fluxuri de autentificare, formulare și comportament la runtime

Modul DAST e piesa de rezistență — multe instrumente AI de pentesting nu suportă automatizarea browserului și rămân blocați la aplicațiile Web moderne care cer autentificare sau interacțiune SPA. Xalgorix include nativ stratul de browser și poate parcurge complet fluxuri de login, trimiterea formularelor și interacțiunile JavaScript.

Decolare în trei pași, gata în 60 de secunde

Cerințe de mediu: Linux + Go 1.24.2+.

Pasul 1: clonare și compilare

git clone https://github.com/xalgord/xalgorix.git
cd xalgorix
make build
sudo install -m 755 build/xalgorix /usr/local/bin/xalgorix

make build compilește mai întâi React Web UI în internal/web/static, apoi binarul Go.

Pasul 2: configurarea LLM

Creează ~/.xalgorix.env:

XALGORIX_LLM=minimax/MiniMax-M2.7
XALGORIX_API_KEY=your_provider_api_key

Pentru utilizatorii din China, se recomandă MiniMax-M2.7, cu un raport bun calitate-preț și prietenos cu rapoartele de pentesting în chineză. Sunt suportate și OpenAI, interfețe personalizate compatibile OpenAI și Gemini.

Configurarea OpenAI:

XALGORIX_LLM=openai/gpt-5.4
XALGORIX_API_KEY=sk-...

Compatibil OpenAI personalizat (de exemplu, Alibaba Tongyi, Zhipu etc.):

XALGORIX_LLM=custom/security-model
XALGORIX_API_BASE=https://your-provider.example/v1
XALGORIX_API_KEY=your_provider_api_key

Pasul 3: pornirea dashboard-ului Web

xalgorix --web

Deschide browserul la http://127.0.0.1:9137 și apucă treaba.

Merge și din linia de comandă

Pentru utilizatorii hardcore care nu vor Web UI:

xalgorix --target https://example.com

Cu instrucțiuni personalizate:

xalgorix --target https://app.example.com --instruction "Focus on SQL injection, IDOR, and auth bypass. Avoid destructive tests."

Astfel de instrucțiuni în limbaj natural se dau direct Agentului, care va rula după strategia pe care i-o spui.

Service Mode: rulează ca serviciu de sistem

Ilustrație

Pentru cei care au nevoie de scanări în masă 7×24:

sudo xalgorix --start
sudo xalgorix --restart
sudo xalgorix --stop
sudo xalgorix --uninstall

journalctl -u xalgorix -f

Vrei acces din browser la distanță? Mai întâi trebuie activată autentificarea dashboard-ului:

sudo tee -a /root/.xalgorix.env >/dev/null <<EOF
XALGORIX_BIND=0.0.0.0
XALGORIX_USERNAME=admin
XALGORIX_PASSWORD=change-this
EOF

sudo xalgorix --restart

Atenție: fără autentificare configurată, serverul refuză direct legarea externă. Acest default de securitate merită felicitat autorul.

Ecosistemul de integrări

Xalgorix nu e o insulă:

  • AgentMail: e-mailuri de unică folosință pentru teste, primirea e-mailurilor de verificare, fluxuri OTP, evenimente declanșate de e-mail
  • Discord Webhook: notificări în timp real despre vulnerabilități critice, cu prag minim de severitate configurabil

Exemplu de configurare Discord:

XALGORIX_DISCORD_WEBHOOK=https://discord.com/api/webhooks/...
XALGORIX_DISCORD_MIN_SEVERITY=high

Astfel, doar constatările de nivel high sau mai sus te vor notifica, ca să nu fii copleșit de informații de severitate mică.

Funcția de rapoarte: PDF-uri gata de trimis clienților

La multe instrumente open source, funcția de rapoarte e o glumă — fie JSON pur, fie un Markdown improvizat, imposibil de livrat direct unui client.

Modulul de rapoarte al Xalgorix chiar a primit atenție:

  • Summary: rezumat executiv, metadate țintă, metadate scanare, privire de ansamblu asupra severității
  • Findings: constatări validate, detalii CVSS, analiză tehnică, dovezi de exploitare
  • Evidence: comenzi PoC, scripturi, payload-uri, observații concludente
  • Remediation: indicații de remediere, ordonare după priorități
  • Branding: numele companiei, logo (poți încărca al tău)

După o scanare, primești direct un raport PDF cu logo-ul companiei tale, gata de livrat. E o funcție gândită pentru companiile de consultanță în securitate, echipele SRC și furnizorii de servicii de pentesting.

Design de securitate la runtime

Ilustrație

Xalgorix s-a gândit serios și la cum să nu devină el însuși țintă:

  • se leagă implicit doar de loopback(127.0.0.1); expunerea externă cere activarea explicită a autentificării
  • politica de căi: scrierile în sistemul de fișiere sunt permise doar în data_dir, ~/.xalgorix/ și /tmp; tot restul e respins
  • limite de instanțe conștiente de resurse: evită ca o singură mașină să ruleze prea multe scanări și să explodeze memoria
  • watchdog cu timeout strict pentru fiecare instrument: procesele-fiu blocate sunt terminate forțat
  • control de admitere pentru concurență: scanările peste limită sunt refuzate; nu se adună orbește sarcini

Endpoint-ul GET /api/status expune și statistici la runtime: panics_recovered, path_rejections, watchdog_kills, admission_refusals, llm_inflight_cap. Faptul că observabilitatea e integrată într-un API standard arată că autorul e de școală inginerească, nu de școală PoC.

Schimbările majore (breaking changes) din v4.4.18

De reținut la upgrade:ieșirile scanărilor, notițele, programările și celelalte date generate se salvează acum uniform în ~/.xalgorix/data/, nu mai stau în directorul de unde pornește binarul.

Utilizatorii vechi care vor să păstreze comportamentul original:

export XALGORIX_DATA_DIR=$(pwd)

La pornire, dacă detectează în $CWD markeri de căi vechi precum notes.json, _schedules/, vulnerabilities.json, afișează un avertisment [MIGRATION] — dar Xalgorix nu va citi, copia sau șterge automataceste fișiere vechi. Te doar avertizează să migrezi, nu-și bate joc de date — o reținere care liniștește.

Cui i se potrivește

Red team / inginerii de pentesting: metodologia în 22 de etape + automatizare + instrucțiuni în limbaj natural te eliberează de munca repetitivă, ca să te concentrezi pe căutarea manuală a vulnerabilităților și analiza profundă.

Vânătorii de Bug Bounty: scanări în masă cu
wildcard pentru ținte multiple, descoperire automată a suprafeței de atac, notificări Discord în timp real despre vulnerabilități critice. Cât timp dormi, AI-ul câștigă recompense pentru tine.

Echipe SRC / Blue Team: rulează autoevaluări periodice și ai claritate totală asupra suprafeței de atac a activelor companiei. Raportul PDF cu branding ajunge direct pe masa șefului.

Companii de consultanță în securitate: activezi Service Mode, scanări izolate pentru clienți multipli, rapoarte cu brandul clientului.

Studenți / cercetători: metodologia în 22 de etape e în sine un manual viu de pentesting — open source, lizibil, modificabil.

De ce merită atenția acest proiect

Ilustrație

În 2026 nu lipsesc instrumentele AI de pentesting, dar puține ajung la „bucla complet închisă” precum Xalgorix:

  • nu doar Agent fără UI (multe instrumente AI de pentesting au doar linia de comandă)
  • nu doar UI fără metodologie (multe doar îngramădesc butoane)
  • nu e legat de un singur model (suportă orice interfață compatibilă OpenAI, inclusiv modelul chinezesc MiniMax)
  • nu livrează produse pe jumătate (rapoarte PDF cu branding, gata de livrat)
  • nu rulează gol, fără design de securitate (loopback implicit, politici de căi, watchdog, control de concurență — toate prezente)

A face de la zero tot pachetul „creier Agent AI + automatizare browser + lanț de unelte + metodologie în 22 de etape + Web UI + sistem de rapoarte” — un asemenea volum de muncă inginerească e rar în lumea open source.

Avertisment privind utilizarea în siguranță

În final, trebuie subliniată o frază oficială:

Use Xalgorix only on systems you own or have explicit permission to test.

Folosește Xalgorix doar pe sistemele pe care le deții sau pentru care ai permisiune explicită de testare.

Puterea instrumentelor AI de pentesting e o sabie cu două tăișuri — te ajută să găsești vulnerabilități eficient, dar folosită greșit înseamnă risc juridic real. Autorizarea, scopul și procesul de raportare trebuie tratate cu seriozitate. În zilele noastre nu sunt rare cazurile în care cineva ajunge la închisoare din cauza unui instrument AI; nu deveni tu știrea.

Concluzii

Xalgorix nu e doar încă un PoC AI de pentesting, ci un exemplu open source de inginerizare și productizare a „testării de securitate cu AI”.

Dacă lucrezi în securitate, în atac sau în apărare, merită să-l clonezi și să-l încerci. Dacă contribui la open source, arhitectura Go + React + LLM Agent a proiectului e și ea un bun material de studiu.

Adresa proiectului, încă o dată:

github.com/xalgord/xalgorix