Tiếng Việt

← Quay lại danh sách

Giới pentest đổi trời chỉ sau một đêm! Xalgorix — nền tảng tấn công AI tự động 22 giai đoạn open source, cắm thẳng mô hình nội địa

itadol5j

Ảnh bìa

Nghề pentest mệt nhất ở chỗ nào? Không phải viết báo cáo, mà là lao động lặp lại — reconnaissance, đoán thư mục, thử điểm injection, xác minh SSRF, kiểm tra CORS… một phiên Web pentest chuẩn ít nhất phải chạy hơn chục công cụ, gõ vài trăm dòng lệnh, rồi thủ công ráp kết quả lại với nhau.

Vài năm nay công cụ an ninh AI cạnh tranh dữ dội, nhưng đa số dự án hoặc chỉ chạy được một giai đoạn đơn lẻ, hoặc chỉ cấu hình được vài mô hình cố định, hoặc UI tệ đến mức chỉ còn cách cày thuần dòng lệnh.

Cho tới khi tôi thấy Xalgorix — dự án này xẻ toàn bộ phương pháp luận pentest thành 22 giai đoạn, chạy hoàn toàn tự động, kèm dashboard Web, telemetry realtime, báo cáo PDF,hỗ trợ MiniMax, GPT, Claude, Gemini và bất kỳ interface tương thích OpenAI nào. Open source, viết bằng Go, self-hosted, một câu make build là cất cánh.

Địa chỉ dự án: github.com/xalgord/xalgorix

Xalgorix rốt cuộc là gì

Định nghĩa trong một câu:nền tảng pentest AI self-hosted.

Nó kết hợp:

  • một bộ não Agent dẫn dắt bởi LLM
  • tự động hóa trình duyệt (cho DAST và các kịch bản cần tương tác)
  • chuỗi công cụ terminal (tự cài các công cụ an ninh thông dụng theo nhu cầu)
  • một bộ phương pháp luận pentest 22 giai đoạn
  • luồng sự kiện WebSocket realtime
  • hệ thống quản lý phát hiện (lỗ hổng + CVSS + trạng thái xác minh)
  • sinh báo cáo PDF mang thương hiệu
  • tích hợp AgentMail và Discord

Mở trình duyệt vào http://127.0.0.1:9137 là tới ngay “trung tâm chỉ huy pentest AI” của bạn.

Phương pháp luận 22 giai đoạn: từ reconnaissance tới zero-day

Đây là chỗ khiến tôi sáng mắt nhất ở Xalgorix — nó không phải kiểu thô bạo “thả một URL rồi để AI tự xoay xở”, mà chia pentest thành 22 giai đoạn có trật tự:

  • Giai đoạn 1-2: reconnaissance / đào lỗ hổng thủ công
  • Giai đoạn 3-4: phát hiện thư mục, tệp tin / phân tích CORS và Cookie
  • Giai đoạn 5-6: kiểm thử phiên xác thực / kiểm thử injection (SQL/XSS/Cmd)
  • Giai đoạn 7-8: kiểm thử SSRF / truy cập vượt quyền IDOR
  • Giai đoạn 9-10: kiểm thử API và GraphQL / kiểm thử tải tệp lên
  • Giai đoạn 11-12: deserialization và RCE / race condition và logic nghiệp vụ
  • Giai đoạn 13-14: chiếm đoạt subdomain / kiểm thử Open Redirect
  • Giai đoạn 15-16: kiểm thử an ninh email / cloud và hạ tầng
  • Giai đoạn 17-18: kiểm thử WebSocket / kiểm thử chuyên sâu CMS
  • Giai đoạn 19-20: hijack liên kết chết / xác minh lỗ hổng
  • Giai đoạn 21-22: phát hiện zero-day / báo cáo cuối cùng

Bạn có thể chạy hết, hoặc trong Web UI tích chọn chỉ chạy giai đoạn cụ thể — ví dụ chỉ muốn test SSRF và IDOR thì tích hai mục đó là xong, tiết kiệm thời gian lẫn Token.

Ba chế độ quét

Hình minh họa
  • Single target: kiểm thử một URL hoặc host đã biết
  • Wildcard / multi: wildcard đa mục tiêu, dùng để phát hiện bề mặt tấn công và quét hàng loạt
  • DAST: kiểm thử hỗ trợ bởi trình duyệt, chuyên xử lý Web app, luồng xác thực, form và hành vi runtime

Chế độ DAST là điểm sáng — nhiều công cụ pentest AI không hỗ trợ tự động hóa trình duyệt, gặp Web app hiện đại cần đăng nhập, cần tương tác SPA là đành bó tay. Xalgorix tích hợp sẵn tầng trình duyệt, chạy trọn vẹn luồng đăng nhập, submit form, tương tác JavaScript.

Ba bước cất cánh, 60 giây xong việc

Yêu cầu môi trường: Linux + Go 1.24.2+.

Bước 1: clone và biên dịch

git clone https://github.com/xalgord/xalgorix.git
cd xalgorix
make build
sudo install -m 755 build/xalgorix /usr/local/bin/xalgorix

make build sẽ biên dịch React Web UI vào internal/web/static trước, rồi biên dịch binary Go.

Bước 2: cấu hình LLM

Tạo ~/.xalgorix.env:

XALGORIX_LLM=minimax/MiniMax-M2.7
XALGORIX_API_KEY=your_provider_api_key

Tại Trung Quốc khuyên dùng MiniMax-M2.7, hiệu quả trên mỗi đồng chi phí cao, thân thiện với báo cáo pentest tiếng Trung. Cũng hỗ trợ OpenAI, interface tương thích OpenAI tùy chỉnh, Gemini.

Cấu hình OpenAI:

XALGORIX_LLM=openai/gpt-5.4
XALGORIX_API_KEY=sk-...

Tùy chỉnh tương thích OpenAI (ví dụ Alibaba Tongyi, Zhipu…):

XALGORIX_LLM=custom/security-model
XALGORIX_API_BASE=https://your-provider.example/v1
XALGORIX_API_KEY=your_provider_api_key

Bước 3: khởi động dashboard Web

xalgorix --web

Mở trình duyệt vào http://127.0.0.1:9137 và bắt tay vào việc.

Chạy bằng dòng lệnh cũng được

Người dùng hardcore không thích Web UI:

xalgorix --target https://example.com

Kèm chỉ thị tùy chỉnh:

xalgorix --target https://app.example.com --instruction "Focus on SQL injection, IDOR, and auth bypass. Avoid destructive tests."

Chỉ thị ngôn ngữ tự nhiên kiểu này nạp thẳng cho Agent, nó sẽ chạy theo chiến lược bạn nói.

Service Mode: chạy như dịch vụ hệ thống

Hình minh họa

Ai cần chạy quét hàng loạt 7×24:

sudo xalgorix --start
sudo xalgorix --restart
sudo xalgorix --stop
sudo xalgorix --uninstall

journalctl -u xalgorix -f

Muốn truy cập dashboard từ trình duyệt từ xa? Phải bật xác thực dashboard trước:

sudo tee -a /root/.xalgorix.env >/dev/null <<EOF
XALGORIX_BIND=0.0.0.0
XALGORIX_USERNAME=admin
XALGORIX_PASSWORD=change-this
EOF

sudo xalgorix --restart

Lưu ý: khi chưa cấu hình xác thực, server từ chối thẳng binding ra ngoài. Giá trị mặc định an toàn này đáng cho tác giả một like.

Hệ sinh thái tích hợp

Xalgorix không phải hòn đảo cô lập:

  • AgentMail: email dùng một lần cho việc test, nhận email xác minh, quy trình OTP, sự kiện kích hoạt qua email
  • Discord Webhook: đẩy realtime lỗ hổng nguy hiểm cao, có thể đặt ngưỡng mức nghiêm trọng tối thiểu

Ví dụ cấu hình Discord:

XALGORIX_DISCORD_WEBHOOK=https://discord.com/api/webhooks/...
XALGORIX_DISCORD_MIN_SEVERITY=high

Như vậy chỉ những phát hiện từ mức high trở lên mới báo cho bạn, tránh bị nhấn chìm trong thông tin mức thấp.

Tính năng báo cáo: PDF gửi thẳng cho khách hàng

Tính năng báo cáo của nhiều công cụ open source đúng là một trò đùa — hoặc JSON thuần, hoặc Markdown cho có, căn bản không thể giao thẳng cho khách.

Module báo cáo của Xalgorix là đầu tư thật sức:

  • Summary: tóm tắt điều hành, metadata mục tiêu, metadata quét, tổng quan mức nghiêm trọng
  • Findings: các phát hiện đã xác minh, chi tiết CVSS, phân tích kỹ thuật, bằng chứng khai thác
  • Evidence: lệnh PoC, script, payload, quan sát củng cố
  • Remediation: hướng dẫn khắc phục, xếp hạng ưu tiên
  • Branding: tên công ty, Logo (bạn có thể upload logo riêng)

Chạy xong một phiên quét là xuất ngay một báo cáo PDF mang Logo công ty bạn, giao thẳng cho khách được. Đây chính là tính năng chuẩn bị cho công ty tư vấn an ninh, team SRC, nhà cung cấp dịch vụ pentest.

Thiết kế runtime an toàn

Hình minh họa

Xalgorix đã bỏ tâm huyết vào chuyện “tự thân đừng bị chơi xấu”:

  • Mặc định chỉ bind loopback(127.0.0.1), phải bật xác thực tường minh mới được phơi ra ngoài
  • Chính sách đường dẫn: ghi hệ thống tệp chỉ cho phép data_dir, ~/.xalgorix/, /tmp, còn lại từ chối hết
  • Giới hạn số instance có nhận thức tài nguyên: tránh để một máy chạy quá nhiều phiên quét nổ bộ nhớ
  • Watchdog hard-timeout cho từng công cụ: tiến trình con bị treo sẽ bị kill cứng
  • Kiểm soát admission đồng thời: các phiên quét vượt giới hạn sẽ bị từ chối, không chất đống nhiệm vụ một cách mù quáng

Endpoint GET /api/status còn phơi cả thống kê runtime: panics_recovered, path_rejections, watchdog_kills, admission_refusals, llm_inflight_cap. Cách đưa observability vào API chuẩn thế này cho thấy tác giả là người theo trường phái engineering chứ không phải kiểu làm PoC cho có.

Thay đổi phá vỡ tương thích của v4.4.18 lần này

Lưu ý khi nâng cấp:Đầu ra quét, ghi chú, lịch trình, dữ liệu sinh ra khác giờ được lưu thống nhất vào ~/.xalgorix/data/, không còn đặt trong thư mục khởi động binary nữa.

Người dùng cũ muốn giữ hành vi cũ:

export XALGORIX_DATA_DIR=$(pwd)

Khi khởi động nếu phát hiện trong $CWD có các dấu hiệu đường dẫn cũ như notes.json, _schedules/, vulnerabilities.json, sẽ in cảnh báo [MIGRATION] — nhưng Xalgorix sẽ không tự động đọc, sao chép, xóanhững tệp cũ này. Chỉ nhắc bạn di chuyển thôi, không đụng vào dữ liệu lung tung, sự tiết chế này khiến người ta an tâm.

Phù hợp với ai

Kỹ sư red team / pentest: phương pháp luận 22 giai đoạn + tự động hóa + chỉ thị ngôn ngữ tự nhiên, giải phóng bạn khỏi lao động lặp lại để tập trung đào lỗ hổng thủ công và phân tích sâu.

Thợ săn Bug Bounty: quét hàng loạt mục tiêu wild
card, tự động phát hiện bề mặt tấn công, Discord đẩy realtime lỗ hổng nguy hiểm cao. Ngủ say để AI kiếm hộ bạn tiền thưởng.

Team SRC / blue team: chạy tự kiểm tra định kỳ, rà rõ bề mặt tấn công của tài sản doanh nghiệp. Báo cáo PDF có thương hiệu dâng sếp luôn.

Công ty tư vấn an ninh: bật service mode, quét cách ly cho nhiều khách hàng, xuất báo cáo mang thương hiệu khách.

Sinh viên / nhà nghiên cứu: phương pháp luận 22 giai đoạn tự nó đã là một giáo trình pentest sống, open source, đọc được, sửa được.

Vì sao dự án này đáng chú ý

Hình minh họa

Năm 2026 công cụ pentest AI không ít, nhưng đạt được mức “vòng kín trọn vẹn” như Xalgorix thì hiếm:

  • không phải chỉ có Agent mà không có UI (nhiều công cụ pentest AI chỉ có dòng lệnh)
  • không phải chỉ có UI mà không có phương pháp luận (nhiều cái chỉ là chất đống nút bấm)
  • không phải bị trói vào một mô hình duy nhất (hỗ trợ bất kỳ interface tương thích OpenAI nào, kể cả MiniMax nội địa Trung Quốc)
  • không phải xuất sản phẩm dở dang (báo cáo PDF có thương hiệu, giao thẳng được)
  • không phải chạy trần không thiết kế an toàn (mặc định loopback, chính sách đường dẫn, watchdog, kiểm soát đồng thời đều có đủ)

Làm trọn gói “bộ não AI Agent + tự động hóa trình duyệt + chuỗi công cụ + phương pháp luận 22 giai đoạn + Web UI + hệ thống báo cáo” — khối lượng engineering như thế này trong giới open source rất hiếm.

Nhắc nhở sử dụng an toàn

Cuối cùng phải nhấn mạnh nguyên văn lời chính thức:

Use Xalgorix only on systems you own or have explicit permission to test.

Chỉ sử dụng Xalgorix trên những hệ thống bạn sở hữu hoặc được cấp quyền kiểm thử rõ ràng.

Sức mạnh của công cụ pentest AI cũng là lưỡi kiếm hai cạnh — nó giúp bạn phát hiện lỗ hổng hiệu quả, nhưng dùng sai chỗ là rủi ro pháp lý thật. Việc cấp quyền, phạm vi, quy trình báo cáo đều phải đàng hoàng. Mấy năm nay vụ sa vào vòng lao lý vì bị công cụ AI đẩy vào không phải hiếm, đừng để bản thân thành tin tức.

Tổng kết

Xalgorix không phải thêm một PoC pentest AI nữa, nó là mẫu open source biến “kiểm thử an ninh bằng AI” thành công trình kỹ thuật, thành sản phẩm.

Dù bạn làm ngành an ninh, tấn công hay phòng thủ, đều đáng clone về thử một vòng. Nếu bạn đóng góp open source, kiến trúc Go + React + LLM Agent của dự án này cũng là mẫu học tập khá ổn.

Địa chỉ dự án dán lại lần nữa:

github.com/xalgord/xalgorix