Пентест-сцена изменилась за одну ночь: Xalgorix — open-source платформа полностью автоматизированных AI-атак с 22-этапной методологией, подключай хоть отечественные модели

Что утомляет больше всего в пентестинге? Не отчёты, а рутина — разведка, брутфорс директорий, тест точек инъекций, проверка SSRF, аудит CORS… Стандартный веб-пентест требует минимум десятка инструментов и сотен команд, после чего результаты ещё приходится сводить вручную.

За последние годы AI-инструментов безопасности появилось множество, но большинство проектов либо умеют выполнять лишь один этап, либо поддерживают только несколько фиксированных моделей, либо имеют настолько ужасный UI, что приходится всё делать через командную строку.

Пока я не увидел Xalgorix — этот проект разбивает всю пентест-методологию на 22 этапа, выполняемых полностью автоматически, с веб-панелью, телеметрией в реальном времени и PDF-отчётами,с поддержкой MiniMax, GPT, Claude, Gemini и любых OpenAI-совместимых интерфейсов. Open-source, написан на Go, размещается у себя, взлетает одной командой make build.

Адрес проекта: github.com/xalgord/xalgorix

Что же такое Xalgorix

Определение в одном предложении:самостоятельно разворачиваемая AI-платформа пентестинга.

Она объединяет:

«мозг» агента, управляемый LLM
автоматизацию браузера (для DAST и сценариев, требующих взаимодействия)
цепочку инструментов терминала (частые инструменты безопасности устанавливаются автоматически по мере необходимости)
методологию пентестинга из 22 этапов
поток событий WebSocket в реальном времени
систему управления находками (уязвимости + CVSS + статус подтверждения)
генерацию брендированных PDF-отчётов
интеграции с AgentMail и Discord

Откройте браузер и перейдите на http://127.0.0.1:9137 — вот и ваш «командный центр AI-пентеста».

Методология из 22 этапов: от разведки до zero-day

Вот что в Xalgorix меня поразило больше всего — это не грубый режим «скорми URL и пусть AI сам разбирается», а разложенный на 22 упорядоченных этапа пентестинг:

Этапы 1-2: разведка / ручной поиск уязвимостей
Этапы 3-4: обнаружение файлов и директорий / анализ CORS и Cookie
Этапы 5-6: тестирование аутентификации и сессий / тестирование инъекций (SQL/XSS/Cmd)
Этапы 7-8: тестирование SSRF / несанкционированный доступ IDOR
Этапы 9-10: тестирование API и GraphQL / тестирование загрузки файлов
Этапы 11-12: десериализация и RCE / состояния гонки и бизнес-логика
Этапы 13-14: захват поддоменов / тестирование открытых редиректов
Этапы 15-16: тестирование безопасности почты / облако и инфраструктура
Этапы 17-18: тестирование WebSocket / специализированные проверки CMS
Этапы 19-20: перехват битых ссылок / верификация уязвимостей
Этапы 21-22: обнаружение zero-day / итоговый отчёт

Можно запустить все этапы сразу, а можно отметить в веб-интерфейсе только нужные — например, хотите проверить лишь SSRF и IDOR, отметьте эти два и сэкономьте время и токены.

Три режима сканирования

Single target: тестирование одного известного URL или хоста
Wildcard / multi: множественные цели по маске — для обнаружения поверхности атаки и массового сканирования
DAST: тестирование с помощью браузера, специально для веб-приложений, потоков аутентификации, форм и поведения в рантайме

Режим DAST — настоящая жемчужина: многие AI-инструменты пентестинга не поддерживают автоматизацию браузера и бессильны перед современными веб-приложениями, где нужен логин или взаимодействие с SPA. Xalgorix имеет встроенный браузерный слой и способен полностью пройти процесс логина, отправку форм и взаимодействие с JavaScript.

Три шага до взлёта — 60 секунд, и готово

Требования к окружению: Linux + Go 1.24.2 и выше.

Шаг 1: клонирование и сборка

git clone https://github.com/xalgord/xalgorix.git
cd xalgorix
make build
sudo install -m 755 build/xalgorix /usr/local/bin/xalgorix

Команда make build сначала компилирует веб-интерфейс React в internal/web/static, затем собирает Go-бинарник.

Шаг 2: настройка LLM

Создайте ~/.xalgorix.env:

XALGORIX_LLM=minimax/MiniMax-M2.7
XALGORIX_API_KEY=your_provider_api_key

Пользователям из Китая рекомендую MiniMax-M2.7 — отличное соотношение цены и качества и дружелюбность к отчётам на китайском. Также поддерживаются OpenAI, собственные OpenAI-совместимые интерфейсы и Gemini.

Конфигурация OpenAI:

XALGORIX_LLM=openai/gpt-5.4
XALGORIX_API_KEY=sk-...

Собственный OpenAI-совместимый интерфейс (например, Alibaba Tongyi, Zhipu и другие):

XALGORIX_LLM=custom/security-model
XALGORIX_API_BASE=https://your-provider.example/v1
XALGORIX_API_KEY=your_provider_api_key

Шаг 3: запуск веб-панели

xalgorix --web

Откройте в браузере http://127.0.0.1:9137 — и вперёд.

Работает и из командной строки

Хардкорным пользователям, не желающим трогать веб-интерфейс:

xalgorix --target https://example.com

С пользовательскими инструкциями:

xalgorix --target https://app.example.com --instruction "Focus on SQL injection, IDOR, and auth bypass. Avoid destructive tests."

Такие инструкции на естественном языке передаются прямо агенту, и он выполнит сканирование согласно заданной вами стратегии.

Service Mode: работа в качестве системной службы

Тем, кому нужны массовые сканирования 24/7:

sudo xalgorix --start
sudo xalgorix --restart
sudo xalgorix --stop
sudo xalgorix --uninstall

journalctl -u xalgorix -f

Хотите доступ к браузеру удалённо? Сначала обязательно включите аутентификацию панели:

sudo tee -a /root/.xalgorix.env >/dev/null <<EOF
XALGORIX_BIND=0.0.0.0
XALGORIX_USERNAME=admin
XALGORIX_PASSWORD=change-this
EOF

sudo xalgorix --restart

Обратите внимание: без настроенной аутентификации сервер отклоняет привязку к внешним адресам. Такой безопасный подход по умолчанию заслуживает благодарности автору.

Экосистема интеграций

Xalgorix не остров в океане:

AgentMail: одноразовая почта для тестов, приём писем для верификации, OTP-потоки, события, инициируемые письмами
Discord Webhook: уведомления о критических уязвимостях в реальном времени с настраиваемым минимальным порогом серьёзности

Пример настройки Discord:

XALGORIX_DISCORD_WEBHOOK=https://discord.com/api/webhooks/...
XALGORIX_DISCORD_MIN_SEVERITY=high

Так уведомления придут только о находках уровня high и выше — низкоприоритетный шум не засорит канал.

Отчёты: PDF, который можно сразу отдавать заказчику

У многих open-source инструментов функции отчётности просто смехотворны — либо чистый JSON, либо условный Markdown, который нельзя отправить заказчику как есть.

К отчётному модулю Xalgorix авторы подошли по-настоящему серьёзно:

Summary: резюме для руководства, метаданные цели, метаданные сканирования, обзор уровней серьёзности
Findings: подтверждённые находки, детали CVSS, технический анализ, доказательства эксплуатации
Evidence: PoC-команды, скрипты, пейлоады, подтверждающие наблюдения
Remediation: рекомендации по устранению и приоритизация
Branding: название компании, логотип (можно загрузить свой)

После завершения сканирования вы получаете готовый PDF-отчёт с логотипом вашей компании, который можно сразу передавать заказчику. Это функция для консалтинговых компаний по безопасности, команд SRC и поставщиков услуг пентестинга.

Безопасная архитектура рантайма

Xalgorix серьёзно подошёл к вопросу «как бы самому не стать жертвой»:

по умолчанию привязка только к loopback(127.0.0.1); для внешнего доступа нужно явно включить аутентификацию
политики путей: запись в файловую систему разрешена только в data_dir, ~/.xalgorix/ и /tmp; всё остальное отклоняется
лимиты экземпляров с учётом ресурсов: чтобы одна машина не исчерпала память от слишком большого числа параллельных сканирований
жёсткий watchdog с таймаутом для каждого инструмента: зависшие дочерние процессы принудительно завершаются
контроль одновременного доступа: сканирования сверх лимита отклоняются — задачи не копятся бездумно

Эндпоинт GET /api/status также показывает статистику рантайма: panics_recovered, path_rejections, watchdog_kills, admission_refusals, llm_inflight_cap. Такой подход — когда наблюдаемость вынесена в стандартный API — выдаёт в авторе инженера, а не авторов концепт-пруфов.

Критические изменения в v4.4.18

Внимание при обновлении:результаты сканирований, заметки, расписания и прочие сгенерированные данные теперь хранятся в ~/.xalgorix/data/, а не в директории запуска бинарника.

Старым пользователям, желающим сохранить прежнее поведение:

export XALGORIX_DATA_DIR=$(pwd)

если при запуске в $CWD обнаруживаются старые маркеры путей — notes.json, _schedules/, vulnerabilities.json — будет показано предупреждение [MIGRATION]. Однако Xalgorix не станет автоматически читать, копировать или удалятьэти старые файлы. Это лишь напоминание о миграции, без манипуляций с вашими данными — такая сдержанность внушает доверие.

Кому подойдёт

Red team / инженеры пентестинга: 22-этапная методология + автоматизация + инструкции на естественном языке освобождают вас от рутины, чтобы сосредоточиться на ручном поиске уязвимостей и глубоком анализе.

Охотники за Bug Bounty: массовое сканирование целей по ма
ске, автоматическое обнаружение поверхности атаки, уведомления о критических находках в Discord в реальном времени. Пока вы спите, AI зарабатывает для вас вознаграждения.

Команды SRC / синие команды: регулярная самопроверка и полная инвентаризация поверхности атаки корпоративных активов. Брендированный PDF-отчёт можно сразу показать руководству.

Консалтинговые компании по безопасности: режим службы, изолированные сканирования для разных клиентов, брендированные отчёты для каждого.

Студенты / исследователи: сама 22-этапная методология — это живой учебник пентестинга, открытый, читаемый и доступный для модификации.

Почему этот проект заслуживает внимания

В 2026 году AI-инструментов пентестинга немало, но проектов с таким «полным замкнутым циклом», как у Xalgorix, немного:

не просто агент без интерфейса (у многих AI-инструментов пентестинга только командная строка)
не просто интерфейс без методологии (у многих — лишь нагромождение кнопок)
не привязка к одной модели (поддерживаются любые OpenAI-совместимые интерфейсы, включая отечественный MiniMax)
не полуфабрикат на выходе (PDF-отчёты с брендингом, готовые к передаче заказчику)
не голый запуск без продуманной безопасности (loopback по умолчанию, политики путей, watchdog, контроль параллелизма — всё на месте)

Полностью реализовать связку «мозг AI-агента + автоматизация браузера + цепочка инструментов + 22-этапная методология + веб-интерфейс + система отчётов» — такой объём инженерной работы в мире open-source встречается крайне редко.

Напоминание о безопасном использовании

И напоследок обязательно приведём официальную формулировку:

Use Xalgorix only on systems you own or have explicit permission to test.

Используйте Xalgorix только на системах, которыми вы владеете или на тестирование которых у вас есть явное разрешение.

Мощь AI-инструментов пентестинга — оружие с двумя лезвиями: она помогает эффективно находить уязвимости, но в чужих руках оборачивается реальными юридическими рисками. Авторизация, границы, процедура отчётности — всё имеет значение. Уже немало случаев, когда люди попадали в неприятности из-за таких инструментов — не становитесь новостью сами.

Заключение

Xalgorix — не очередное PoC AI-пентеста, а open-source образец того, как «тестирование безопасности с помощью AI» превращается в инженерно выверенный продукт.

Если вы работаете в сфере безопасности — в атаке или обороне — стоит склонировать и попробовать. А если вы вносите вклад в open-source, архитектура Go + React + LLM Agent этого проекта — отличный учебный пример.

Адрес проекта ещё раз:

github.com/xalgord/xalgorix