xalgorix/xalgorix

Autonomous AI pentesting agents — real-time reconnaissance, vulnerability detection, and exploitation orchestration. Go + TypeScript.

Xalgorix – オープンソースのAI駆動ペネトレーションテストプラットフォーム

概要 – Xalgorixは、大規模言語モデル（LLM）を自律型セキュリティテストエージェントとして使用するセルフホスト型ツールです。エージェントは22フェーズのペンテスト方法論を実行し、その後、独立した検証器がすべての候補発見を再エクスプロイトして、結果が単にフラグ付けされるのではなく証明されるようにします。

重要性 – 従来のスキャナー（Nuclei、OWASP ZAP、商用DASTなど）は、既知のパターンのみを検出できます。Xalgorixは、推論重視の発見とエクスプロイト検証ステップを追加し、誤検知を劇的に減らし、具体的な概念実証の証拠を提供します。

コアコンポーネント

コンポーネント	役割
LLM駆動エージェント	偵察、認証フローの処理、脆弱性発見、エクスプロイトの連鎖を駆動します。OpenAI互換のプロバイダー（OpenAI、Anthropic、Gemini、Groq、Ollamaなど）をサポートします。
独立した検証器	新しいLLM呼び出しで各発見を再実行し、発見が報告される前にエクスプロイトが機能することを確認します。
Webダッシュボード	スキャン起動、ライブテレメトリ、発見管理、PDFレポート生成のためのローカルUI（`http://127.0.0.1:9137`）。
ツールセット	事前インストールされた攻撃的セキュリティバイナリ（nmap、nuclei、httpx、subfinder、ffuf、sqlmap、masscanなど）に加え、その場でのインストール用の完全なパッケージマネージャーアクセス（apt、go、pipx、npm、cargo）。
API / サービスモード	CI/CDまたはカスタム統合用のマシン間トークン認証。
統合	オプションのDiscord/Telegramアラート、メールベースのOTPフロー用のAgentMail、Caidoプロキシサポート。

使用方法

インストール – 1行スクリプト、Goインストール、Dockerイメージ、またはソースからビルド。
構成 – xalgorix --setupを実行してLLMプロバイダーを選択し、APIキーを入力し、オプションのプロキシ設定を行います。
起動 – ダッシュボード（xalgorix --web）を開始するか、CLI/APIを介してヘッドレススキャンを実行します。
監視 – ライブWebSocketテレメトリがツール呼び出し、LLMメッセージ、HTTPアクティビティを表示します。
検証 – 組み込みの検証器が各候補発見を自動的に再エクスプロイトします。
レポート – CVSSスコア、PoCスクリーンショット、修復ガイダンスを含むブランド化されたPDFを生成します。

注目すべき機能

エクスプロイト検証済みの発見 – 別の検証器がレポートに表示される前に各脆弱性を確認します。
自分のLLMを持ち込む – 互換性のあるモデルを使用します。コスト、推論深度、レート制限を制御できます。
セルフホスト＆プライベート – すべてのデータ、キー、スキャン結果はインフラストラクチャに残ります。クラウドのみのSaaSロックインはありません。
広範なツールチェーン – 数十のペンテストユーティリティがバンドルされており、実行時に不足している依存関係を自動インストールできます。
複数のスキャンモード – 単一ターゲット、ワイルドカード、マルチターゲット、および「コードをスキャン」 (外部ホスト不要) のワークフロー。
自動化に優しい – APIトークン認証、PRセキュリティレビュー用のGitHubアプリ、CIパイプライン用のGitHub Action。
安全制御 – 使い捨てコンテナ内でのみ特権で実行されます。ダッシュボードはデフォルトでlocalhostにバインドされます。外部アクセスには明示的な認証が必要です。

典型的な使用例

シナリオ	Xalgorixがどのように役立つか
Webアプリのペンテスト	完全な方法論を実行し、認証フローを処理し、IDOR/BOLA、レースコンディションを発見し、エクスプロイト検証済みの証明を提供します。
バグ報奨金プログラム	攻撃面を迅速に列挙し、PoC付きの検証済みCVSSスコア付き発見を表面化します。
レッドチーム偵察	ワイルドカード/マルチターゲットスキャンが外部資産をマッピングし、ブラウザ自動化を備えたDASTを深く掘り下げます。
CI/CDセキュリティゲート	GitHubアプリが自動セキュリティレビューでPRにコメントします。CIアクションは検証済みの発見でマージをブロックできます。
継続的モニタリング	システムサービスとして実行し、スキャンをスケジュールし、Discord/Telegramにアラートをプッシュします。

クイックスタート

# 1行インストール (Linux/macOS)
curl -sSL https://www.xalgorix.com/install | bash

# インタラクティブセットアップウィザードを実行
xalgorix --setup

# ダッシュボードを起動 (デフォルト http://127.0.0.1:9137)
xalgorix --web

またはDockerイメージを使用:

docker run --rm -p 9137:9137 \
  --privileged -v xalgorix-data:/data \
  xalgord/xalgorix:latest

ライセンスとコミュニティ

ライセンス: Apache 2.0 (寛容、商用に好意的)。
スター/フォーク: GitHubバッジで表示可能。
スポンサー: Swiftproxyが地域テスト用の住宅用プロキシ割引を提供。
ホスト型SaaSオプション: www.xalgorix.com は、組み込みのLLMキーとOOBサービスを備えたマネージド版を提供。

結論: Xalgorixは、LLM推論と完全な攻撃的セキュリティツールチェーンを組み合わせて、証明された脆弱性発見を提供する本物のオープンソースプロジェクトです。データとLLMコストの完全な制御を維持しながら、自律型でセルフホスト型のペンテストエンジンを必要とするセキュリティチームに適しています。