繁體中文

← 返回列表

滲透圈一夜變天！Xalgorix 22階段全自動 AI 攻擊平臺開源，國產模型直接接

itadol5j

封面

滲透測試這行最累的是什麼？不是寫報告，是重複勞動——偵察、目錄爆破、注入點測試、SSRF 驗證、CORS 檢查……一個標準的 Web 滲透至少要跑十幾個工具，敲幾百條命令，再人工把結果拼起來。

這幾年 AI 安全工具卷得飛起，但大多數項目要麼只能跑單個階段、要麼只能配幾個固定模型、要麼 UI 爛到只能命令行硬擼。

直到我看到 Xalgorix——這個項目把整個滲透方法論拆成 22 個階段，全自動跑，配 Web 儀表板、實時遙測、PDF 報告，支持 MiniMax、GPT、Claude、Gemini 和任何 OpenAI 兼容接口。開源、Go 寫的、自託管，一句 make build 起飛。

項目地址：github.com/xalgord/xalgorix

Xalgorix 到底是什麼

一句話定義：自託管的 AI 滲透測試平臺。

它結合了：

  • 一個 LLM 驅動的 Agent 大腦
  • 瀏覽器自動化（用於 DAST 和需要交互的場景）
  • 終端工具鏈（按需自動安裝常見安全工具）
  • 一套 22 階段的滲透測試方法論
  • 實時 WebSocket 事件流
  • 發現管理系統（漏洞 + CVSS + 驗證狀態）
  • 品牌化 PDF 報告生成
  • AgentMail 和 Discord 集成

打開瀏覽器進 http://127.0.0.1:9137 就是你的”AI 滲透指揮中心”。

22 階段方法論：從偵察到零日

這是 Xalgorix 最讓我眼前一亮的地方——它不是”丟個 URL 讓 AI 自己想辦法”那種粗暴模式，而是把滲透測試拆成了 22 個有序階段：

  • 階段 1-2：偵察 / 手動漏洞挖掘
  • 階段 3-4：目錄文件發現 / CORS 和 Cookie 分析
  • 階段 5-6：認證會話測試 / 注入測試（SQL/XSS/Cmd）
  • 階段 7-8：SSRF 測試 / IDOR 越權訪問
  • 階段 9-10：API 和 GraphQL 測試 / 文件上傳測試
  • 階段 11-12：反序列化和 RCE / 競態條件和業務邏輯
  • 階段 13-14：子域接管 / Open Redirect 測試
  • 階段 15-16：郵件安全測試 / 雲和基礎設施
  • 階段 17-18：WebSocket 測試 / CMS 專項測試
  • 階段 19-20：失效鏈接劫持 / 漏洞驗證
  • 階段 21-22：零日發現 / 最終報告

你可以全跑，也可以在 Web UI 裏勾選只跑特定階段——比如只想測 SSRF 和 IDOR，勾這兩個就行，省時間省 Token。

三種掃描模式

插圖
  • Single target：測試單個已知 URL 或主機
  • Wildcard / multi：通配符多目標，做攻擊面發現和批量掃描
  • DAST：瀏覽器輔助測試，專門搞 Web 應用、認證流、表單和運行時行爲

DAST 模式是亮點——很多 AI 滲透工具不支持瀏覽器自動化，遇到需要登錄、需要 SPA 交互的現代 Web 應用就抓瞎。Xalgorix 直接內置了瀏覽器層，能完整跑通登錄流程、表單提交、JavaScript 交互。

三步起飛，60 秒搞定

環境要求：Linux + Go 1.24.2+。

Step 1：克隆和編譯

git clone https://github.com/xalgord/xalgorix.git
cd xalgorix
make build
sudo install -m 755 build/xalgorix /usr/local/bin/xalgorix

make build 會先編譯 React Web UI 到 internal/web/static，再編譯 Go 二進制。

Step 2：配置 LLM

創建 ~/.xalgorix.env：

XALGORIX_LLM=minimax/MiniMax-M2.7
XALGORIX_API_KEY=your_provider_api_key

國內推薦 MiniMax-M2.7，性價比高、對中文滲透報告友好。也支持 OpenAI、自定義 OpenAI 兼容接口、Gemini。

OpenAI 配置：

XALGORIX_LLM=openai/gpt-5.4
XALGORIX_API_KEY=sk-...

自定義 OpenAI 兼容（比如阿里通義、智譜等）：

XALGORIX_LLM=custom/security-model
XALGORIX_API_BASE=https://your-provider.example/v1
XALGORIX_API_KEY=your_provider_api_key

Step 3：啓動 Web 儀表板

xalgorix --web

打開瀏覽器進 http://127.0.0.1:9137，開幹。

命令行也能跑

不想用 Web UI 的硬核用戶：

xalgorix --target https://example.com

帶自定義指令的：

xalgorix --target https://app.example.com --instruction "Focus on SQL injection, IDOR, and auth bypass. Avoid destructive tests."

這種自然語言指令直接餵給 Agent，它會按你說的策略來跑。

Service Mode：跑成系統服務

插圖

需要 7×24 跑批量掃描的：

sudo xalgorix --start
sudo xalgorix --restart
sudo xalgorix --stop
sudo xalgorix --uninstall

journalctl -u xalgorix -f

想讓遠程瀏覽器訪問？必須先開啓 dashboard 認證：

sudo tee -a /root/.xalgorix.env >/dev/null <<EOF
XALGORIX_BIND=0.0.0.0
XALGORIX_USERNAME=admin
XALGORIX_PASSWORD=change-this
EOF

sudo xalgorix --restart

注意：未配置認證的情況下，服務器直接拒絕外部綁定。這個安全默認值值得給作者點贊。

集成生態

Xalgorix 不是孤島：

  • AgentMail：測試用一次性郵箱、驗證郵件接收、OTP 流程、郵件觸發事件
  • Discord Webhook：高危漏洞實時推送，可設置最低嚴重等級閾值

Discord 配置示例：

XALGORIX_DISCORD_WEBHOOK=https://discord.com/api/webhooks/...
XALGORIX_DISCORD_MIN_SEVERITY=high

這樣只有 high 及以上的發現纔會通知你，避免被低危信息淹沒。

報告功能：能直接發客戶的 PDF

很多開源工具的報告功能是個笑話——要麼純 JSON，要麼 Markdown 湊數，根本沒法直接交付客戶。

Xalgorix 的報告模塊是真做了功夫的：

  • Summary：執行摘要、目標元數據、掃描元數據、嚴重等級概覽
  • Findings：驗證過的發現、CVSS 詳情、技術分析、利用證明
  • Evidence：PoC 命令、腳本、payload、佐證觀察
  • Remediation：修復指引、優先級排序
  • Branding：公司名、Logo（你能上傳自己的）

跑完一次掃描，直接出一份帶你公司 Logo 的 PDF 報告，可以直接交付。這就是給安全諮詢公司、SRC 團隊、滲透服務商準備的功能。

安全運行時設計

插圖

Xalgorix 在”自己別被搞”這件事上花了心思：

  • 默認只綁定 loopback（127.0.0.1），必須顯式開認證才能對外暴露
  • 路徑策略：文件系統寫入只允許 data_dir、~/.xalgorix/、/tmp，其他全部拒絕
  • 資源感知的實例限制：避免一臺機器跑太多掃描爆內存
  • 每工具硬超時看門狗：卡死的子進程會被強殺
  • 併發准入控制：超過上限的掃描會被拒絕，不會無腦堆任務

GET /api/status 接口還暴露了運行時統計：panics_recovered、path_rejections、watchdog_kills、admission_refusals、llm_inflight_cap。這種把可觀測性寫在標準 API 裏的做法，看得出作者是個工程派而不是 PoC 派。

v4.4.18 這次的破壞性變更

升級注意：掃描輸出、筆記、調度、其他生成的數據現在統一存到 ~/.xalgorix/data/，不再放在二進制啓動目錄。

老用戶想保持原行爲：

export XALGORIX_DATA_DIR=$(pwd)

啓動時如果檢測到 $CWD 有 notes.json、_schedules/、vulnerabilities.json 這些老路徑標記，會打 [MIGRATION] 警告——但 Xalgorix 不會自動讀、複製、刪除這些老文件。只是提醒你遷移，不會亂搞數據，這個剋制讓人安心。

適合誰用

紅隊 / 滲透測試工程師：22 階段方法論 + 自動化 + 自然語言指令，能把你從重複勞動裏解放出來，專心做手工挖洞和深度分析。

Bug Bounty 獵人：批量掃描通
配符目標、自動發現攻擊面、Discord 實時推高危。睡覺的時候讓 AI 幫你賺賞金。

SRC 團隊 / 藍隊：定期跑自檢，把企業資產的攻擊面盤清楚。帶品牌 PDF 報告直接給老闆彙報。

安全諮詢公司：開服務模式，多客戶隔離掃描，輸出客戶品牌報告。

學生 / 研究者：22 階段方法論本身就是一本活的滲透教科書，開源、可讀、可改。

爲什麼這個項目值得關注

插圖

2026 年 AI 滲透測試工具不少，但能做到 Xalgorix 這種”完整閉環”的不多：

  • 不是隻有 Agent 沒有 UI（很多 AI 滲透工具只有命令行）
  • 不是隻有 UI 沒有方法論（很多隻是堆按鈕）
  • 不是綁死單一模型（支持任何 OpenAI 兼容接口，包括國產 MiniMax）
  • 不是輸出半成品（PDF 報告帶品牌，能直接交付）
  • 不是裸跑沒安全設計（默認 loopback、路徑策略、看門狗、併發控制全都有）

把”AI Agent 大腦 + 瀏覽器自動化 + 工具鏈 + 22 階段方法論 + Web UI + 報告系統”全做完，這種工程量在開源圈裏相當稀缺。

安全使用提醒

最後必須強調一句官方原話：

Use Xalgorix only on systems you own or have explicit permission to test.

只在你擁有或有明確授權測試的系統上使用 Xalgorix。

AI 滲透工具的強大也是雙刃劍——它能幫你高效發現漏洞，但用錯地方就是真實的法律風險。授權、範圍、報告流程都得講究。這年頭被 AI 工具坑進局子的案例不算稀有，自己別成新聞。

總結

Xalgorix 不是又一個 AI 滲透 PoC，它是把”AI 安全測試”這件事工程化、產品化的開源樣本。

如果你做安全行業，無論是攻是防，都值得 clone 下來試一試。如果你做開源貢獻，這個項目的 Go + React + LLM Agent 架構也是一個不錯的學習樣本。

項目地址再貼一次：

github.com/xalgord/xalgorix