Svenska

← Tillbaka till listan

Pentest-världen förändras över en natt! Xalgorix – helautomatiserad AI-attackplattform i 22 steg nu med öppen källkod, kinesiska modeller ansluts direkt

itadol5j

Omslag

Vad är mest tröttsamt inom penetrationstestning? Inte att skriva rapporter, utan det repetitiva arbetet – rekognosering, katalogbrute-force, test av injektionspunkter, SSRF-verifiering, CORS-kontroller … Ett standard webb-pentest kräver minst ett dussin verktyg, hundratals kommandon och därefter att manuellt pussla ihop resultaten.

De senaste åren har AI-säkerhetsverktyg skjutit i väg, men de flesta projekt kan antingen bara köra ett enskilt steg, bara kopplas till ett fåtal fasta modeller, eller har ett användargränssnitt så dåligt att man tvingas nöja sig med kommandoraden.

Tills jag såg Xalgorix – det här projektet delar upp hela pentest-metodiken i 22 steg som körs helt automatiskt, med webbinstrumentpanel, telemetri i realtid och PDF-rapporter,med stöd för MiniMax, GPT, Claude, Gemini och alla OpenAI-kompatibla gränssnitt. Öppen källkod, skrivet i Go, självhostat – och igång med ett enda make build.

Projektadress: github.com/xalgord/xalgorix

Vad är Xalgorix egentligen?

Kort definition:en självhostad AI-plattform för penetrationstestning.

Den kombinerar:

  • en LLM-driven agenthjärna
  • webbläsarautomatisering (för DAST och scenarier som kräver interaktion)
  • en terminalbaserad verktygskedja (installerar vanliga säkerhetsverktyg automatiskt vid behov)
  • en pentest-metodik i 22 ordnade steg
  • händelseströmmar i realtid via WebSocket
  • ett hanteringssystem för fynd (sårbarheter + CVSS + verifieringsstatus)
  • generering av varumärkesanpassade PDF-rapporter
  • integrationer med AgentMail och Discord

Öppna webbläsaren mot http://127.0.0.1:9137 så har du din ”AI-pentest-kommandocentral”.

22-stegsmetodiken: från rekognosering till zero-day

Det är här Xalgorix verkligen gör intryck – det är inte det brutala läget ”släng en URL till AI:n och låt den klara sig själv”, utan penetrationstestningen delas upp i 22 ordnade steg:

  • Steg 1–2: rekognosering / manuell sårbarhetssökning
  • Steg 3–4: katalog- och filupptäckt / CORS- och cookieanalys
  • Steg 5–6: test av autentisering och sessioner / injektionstester (SQL/XSS/Cmd)
  • Steg 7–8: SSRF-tester / IDOR, otillåten åtkomst
  • Steg 9–10: API- och GraphQL-tester / test av filuppladdning
  • Steg 11–12: deserialisering och RCE / race conditions och affärslogik
  • Steg 13–14: subdomänövertagande / Open Redirect-tester
  • Steg 15–16: e-postsäkerhetstester / moln och infrastruktur
  • Steg 17–18: WebSocket-tester / CMS-specifika tester
  • Steg 19–20: kapning av döda länkar / sårbarhetsverifiering
  • Steg 21–22: zero-day-upptäckt / slutrapport

Du kan köra alltihop, eller kryssa i webbgränssnittet att bara köra särskilda steg – vill du bara testa SSRF och IDOR kryssar du i de två, vilket sparar både tid och token.

Tre skanningslägen

Illustration
  • Single target: testa en enskild känd URL eller värd
  • Wildcard / multi: jokertecken för flera mål, för attackytans upptäckt och masskanning
  • DAST: webbläsarassisterad testning, särskilt för webbapplikationer, autentiseringsflöden, formulär och körtidsbeteende

DAST-läget är höjdpunkten – många AI-pentestverktyg saknar webbläsarautomatisering och faller pladask när de möter moderna webbappar som kräver inloggning eller SPA-interaktion. Xalgorix har webbläsarlagret inbyggt direkt och kan köra hela inloggningsflöden, formulärinskickningar och JavaScript-interaktioner.

Tre steg, igång på 60 sekunder

Systemkrav: Linux + Go 1.24.2+.

Steg 1: Klona och bygg

git clone https://github.com/xalgord/xalgorix.git
cd xalgorix
make build
sudo install -m 755 build/xalgorix /usr/local/bin/xalgorix

make build kompilerar först React-webbgränssnittet till internal/web/static och därefter Go-binären.

Steg 2: Konfigurera LLM

Skapa ~/.xalgorix.env:

XALGORIX_LLM=minimax/MiniMax-M2.7
XALGORIX_API_KEY=your_provider_api_key

I Kina rekommenderas MiniMax-M2.7 – bra pris/prestanda och vänligt mot kinesiska pentestrapporter. OpenAI, egna OpenAI-kompatibla gränssnitt och Gemini stöds också.

OpenAI-konfiguration:

XALGORIX_LLM=openai/gpt-5.4
XALGORIX_API_KEY=sk-...

Eget OpenAI-kompatibelt gränssnitt (t.ex. Alibaba Tongyi, Zhipu m.fl.):

XALGORIX_LLM=custom/security-model
XALGORIX_API_BASE=https://your-provider.example/v1
XALGORIX_API_KEY=your_provider_api_key

Steg 3: Starta webbinstrumentpanelen

xalgorix --web

Öppna webbläsaren mot http://127.0.0.1:9137 och kör igång.

Det går också att köra från kommandoraden

För hårdkärnan som inte vill använda webbgränssnittet:

xalgorix --target https://example.com

Med egna instruktioner:

xalgorix --target https://app.example.com --instruction "Focus on SQL injection, IDOR, and auth bypass. Avoid destructive tests."

Sådana instruktioner på naturligt språk matas direkt till agenten, som kör enligt din strategi.

Service Mode: kör som systemtjänst

Illustration

För dig som behöver köra masskanningar dygnet runt:

sudo xalgorix --start
sudo xalgorix --restart
sudo xalgorix --stop
sudo xalgorix --uninstall

journalctl -u xalgorix -f

Vill du att fjärrwebbläsare ska kunna nås? Då måste du först aktivera autentisering för instrumentpanelen:

sudo tee -a /root/.xalgorix.env >/dev/null <<EOF
XALGORIX_BIND=0.0.0.0
XALGORIX_USERNAME=admin
XALGORIX_PASSWORD=change-this
EOF

sudo xalgorix --restart

Observera: utan konfigurerad autentisering vägrar servern att binda sig externt. Det där säkra standardvärdet förtjänar en eloge till upphovsmannen.

Integrationsmiljö

Xalgorix är ingen ö:

  • AgentMail: engångs-e-post för tester, mottagning av verifieringsmeddelanden, OTP-flöden, e-postutlösta händelser
  • Discord Webhook: realtidspush för allvarliga sårbarheter, med konfigurerbar tröskel för lägsta allvarlighetsgrad

Exempel på Discord-konfiguration:

XALGORIX_DISCORD_WEBHOOK=https://discord.com/api/webhooks/...
XALGORIX_DISCORD_MIN_SEVERITY=high

Så informeras du bara om fynd av graden high och uppåt, och drunknar inte i lågallvarliga meddelanden.

Rapportfunktionen: PDF:er som kan skickas direkt till kund

Många öppen-källkodsverktygs rapportfunktioner är ett skämt – antingen ren JSON eller en knapp Markdown, helt omöjliga att lämna över till en kund.

Xalgorix rapportmodul är riktigt genomarbetad:

  • Summary: sammanfattning, målmetadata, skanningsmetadata, översikt över allvarlighetsgrader
  • Findings: verifierade fynd, CVSS-detaljer, teknisk analys, bevis för utnyttjande
  • Evidence: PoC-kommandon, skript, payloads, stödjande observationer
  • Remediation: åtgärdsanvisningar, prioriteringsordning
  • Branding: företagsnamn, logotyp (du kan ladda upp din egen)

Efter en genomförd skanning får du direkt en PDF-rapport med ditt företags logotyp, redo att överlämnas. Det är en funktion byggd för säkerhetskonsulter, SRC-team och pentestleverantörer.

Säker körtidsdesign

Illustration

Xalgorix har lagt ned tanke på hur systemet inte ska komprometteras:

  • binder som standard endast loopback (127.0.0.1); extern exponering kräver uttryckligt aktiverad autentisering
  • sökvägspolicy: filsystemsskrivningar tillåts bara till data_dir, ~/.xalgorix/ och /tmp – allt annat nekas
  • resursmedveten instansbegränsning: förhindrar att för många skanningar på samma maskin spränger minnet
  • hård watchdog med tidsgräns per verktyg: fastnade underprocesser tvingas avslutas
  • admisskontroll för samtidighet: skanningar över taket nekas – inga tanklösa köer av uppgifter

GET /api/status exponerar också körtidsstatistik: panics_recovered, path_rejections, watchdog_kills, admission_refusals, llm_inflight_cap. Att på det här sättet bygga in observerbarhet i ett standard-API avslöjar en upphovsman som är ingenjör och inte PoC-hackare.

De brytande ändringarna i v4.4.18

Vid uppgradering, observera:skanningsutdata, anteckningar, schemaläggning och annan genererad data lagras nu enhetligt i ~/.xalgorix/data/, inte längre i katalogen där binären startades.

Om du som äldre användare vill behålla det gamla beteendet:

export XALGORIX_DATA_DIR=$(pwd)

Om gamla sökvägsmarkörer som notes.json, _schedules/ eller vulnerabilities.json hittas i $CWD vid start visas en [MIGRATION]-varning – men Xalgorix läser, kopierar eller tar inte automatiskt bortdessa gamla filer. Du påminns bara om migrering – ingen pysslar med din data, en återhållsamhet som känns trygg.

Vem passar det för?

Röda laget / pentestare: 22-stegsmetodiken + automatisering + instruktioner på naturligt språk befriar dig från det repetitiva arbetet, så att du kan koncentrera dig på manuellt sökande och djupanalys.

Bug Bounty-jägare: massskanna jokerteckenmål,
upptäck attackytan automatiskt och få push i Discord om allvarliga fynd. Låt AI:n tjäna belöningar åt dig medan du sover.

SRC-team / blå laget: kör regelbundna självkontroller och få grepp om attackytan hos företagets tillgångar. Varumärkesanpassade PDF-rapporter redo att presenteras för ledningen.

Säkerhetskonsultbolag: kör i serviceläge med isolerade skanningar per kund och kundanpassade varumärkesrapporter.

Studenter / forskare: 22-stegsmetodiken är i sig en levande pentest-lärobok – öppen, läsbar och förändringsbar.

Varför projektet är värt att uppmärksamma

Illustration

År 2026 är AI-pentestverktyg inte få, men de som åstadkommer den ”fullständiga slutna kretsen” som Xalgorix är få:

  • inte enbart agent utan UI (många AI-pentestverktyg har bara kommandorad)
  • inte enbart UI utan metodik (många är bara knappar på rad)
  • inte bunden till en enda modell (stöder alla OpenAI-kompatibla gränssnitt, inklusive kinesiska MiniMax)
  • inte halvfabrikat som utdata (varumärkesanpassade PDF-rapporter, klara att leverera)
  • inte okontrollerad körning utan säkerhetsdesign (standard loopback, sökvägspolicy, watchdog och samtidighetskontroll – allt finns)

Att bygga klart hela kedjan – ”agenthjärna + webbläsarautomatisering + verktygskedja + 22-stegsmetodik + webbgränssnitt + rapportsystem” – är en ingenjörsinsats som är ganska sällsynt i öppen-källkodsvärlden.

Säkerhetspåminnelse

Avslutningsvis måste den officiella formuleringen understrykas:

Use Xalgorix only on systems you own or have explicit permission to test.

Använd Xalgorix endast på system du äger eller har uttrycklig tillåtelse att testa.

AI-pentestverktyg är ett tveeggat svärd – de hjälper dig att effektivt hitta sårbarheter, men använda på fel ställe blir det en påtaglig juridisk risk. Tillåtelse, omfattning och rapportprocess måste alla hanteras korrekt. Numera är det inte ovanligt att folk hamnar i trubbel på grund av AI-verktyg – bli inte själv en nyhet.

Sammanfattning

Xalgorix är inte ännu ett AI-pentest-PoC – det är ett öppen-källkodsexempel på hur ”AI-driven säkerhetstestning” kan göras om till ingenjörsarbete och produkt.

Om du arbetar i säkerhetsbranschen, oavsett om du attackerar eller försvarar, är det värt att klona och testa. Och bidrar du till öppen källkod är projektets arkitektur i Go + React + LLM-agent också ett bra studieobjekt.

Projektadressen en gång till:

github.com/xalgord/xalgorix