vigolium/vigolium

Vigolium - High-fidelity vulnerability scanner fusing agentic AI with native speed, modularity, and precision

Vigoliumとは

Vigoliumは、2つの方法で実行できるオープンソースのセキュリティスキャナーです。

ネイティブスキャン – Goで書かれた高速で決定的なマルチフェーズスキャナーです。コンテンツを発見し、シングルページアプリをスパイダーし、多くの脆弱性クラス（XSS、SQLi、認証バイパス、OASTなど）をテストする数百の組み込みモジュールが同梱されています。
エージェントスキャン – 内部の「olium」エージェントフレームワークを使用するAI拡張モードです。エージェントは攻撃を計画し、モジュールを選択し、カスタムJavaScript拡張機能を生成し、ソースコード監査を実行し、結果を自動的にトリアージします。

どちらのモードも、コマンドライン、Dockerコンテナ内、またはREST APIサーバーを介して使用できます。

主な機能

領域	機能
スキャン範囲	331のモジュール（213のアクティブファザー、118のパッシブパターンマッチャー）で、OWASP Top 10、クラウド/インフラ、APIプロトコル、帯域外（OAST）テストをカバーします。
発見	コンテンツ列挙（Deparos）、Chromium駆動のSPAスパイダー（Spitolas）、戦略プリセット（バランス、ディープなど）で調整可能なマルチフェーズパイプライン。
認証サポート	CLIフラグ、YAML/JSONファイル、または自動ログインフローによるセッション認識認証。IDOR/BOLAのマルチセッションテストをサポートします。
拡張性	組み込みのJavaScript/TypeScriptエンジンにより、再コンパイルなしでカスタムモジュール、フック、または本格的な拡張機能を作成できます。
AI駆動エージェント	oliumランタイムは「オートパイロット」（完全自律）または「スウォーム」（マスターエージェント+スペシャリストエージェント）モードを実行し、モジュールを選択し、JS攻撃を生成し、ソースコード監査（`vigolium-audit`または`piolium`経由）を実行します。
サーバー/API	`vigolium server`はREST API（認証キー保護）を起動し、トラフィックを取り込み、受信時に自動スキャンし、プログラムによる使用のためのOpenAI互換チャットエンドポイントを公開できます。
レポート	自己完結型のHTMLレポートを生成します。CIパイプライン用の生のJSON/NDJSON出力も提供します。
デプロイオプション	ネイティブバイナリ（Linux/macOS/Windows）、npmグローバルパッケージ、Dockerイメージ、またはソースからビルド（Go 1.27+、bun 1.3.11+）。

典型的なワークフロー

インストール – curl … | bashまたはnpm i -g @vigolium/vigolium。
クイックスキャンを実行 – vigolium scan -t https://example.com。
認証またはカスタムモジュールを追加 – --auth、--auth-file、またはvigolium ext …を使用してJS拡張機能をロードします。
レポートを生成 – vigolium scan … --format html -o report.html。
オプションのAI拡張監査 – vigolium agent autopilot -t https://example.com --source ./srcでエージェントが攻撃を計画し、ソースコード監査を実行できます。
結果を提供 – vigolium serverを起動し、トラフィックを取り込むか、組み込みのUIダッシュボードを使用します。

誰が使うのか

CI/CDパイプラインに統合できる高速でスクリプト可能なスキャナーを必要とするセキュリティエンジニア。
攻撃チェーンを自動生成し、結果をトリアージできるAI支援ツールを探しているレッドチーム/バグバウンティハンター。
サーバーモードやDockerイメージを介して内部サービスで継続的スキャンを実行したいDevOps/SREチーム。
ニッチな認証フローをテストするためのカスタムJavaScript拡張機能を作成したい開発者。

始めるには

クイックスタートガイドを読む – https://docs.vigolium.com/getting-started/quickstart。
モジュールリストを探索 – https://docs.vigolium.com/native-scan/modules-reference。
AIモードを試す – vigolium agent autopilot -t https://target.com（agent.olium.providerで設定されたOpenAI互換APIキーが必要）。
UIサーバーを実行 – VIGOLIUM_API_KEY=secret vigolium serverを実行し、コンソールに表示されるアドレスでダッシュボードを開きます。

ライセンスとコミュニティ

コアスキャナーはオープンソースライセンス（リポジトリのLICENSEファイルを参照）でリリースされています。開発はGitHubで調整され、Discordコミュニティ、Twitter、スポンサー（Daytona）がサンドボックスインフラを提供しています。貢献はプルリクエストで歓迎されます。ビルド手順はHACKING.mdを参照してください。