xalgorix/xalgorix

Autonomous AI pentesting agents — real-time reconnaissance, vulnerability detection, and exploitation orchestration. Go + TypeScript.

Xalgorix – 오픈소스 AI 기반 침투 테스트 플랫폼

정의 – Xalgorix는 대규모 언어 모델(LLM)을 자율 보안 테스트 에이전트로 사용하는 자체 호스팅 도구입니다. 에이전트는 22단계 펜테스트 방법론을 실행한 다음, 별도의 검증기가 모든 후보 발견 사항을 다시 악용하여 결과가 단순히 플래그 지정되는 것이 아니라 증명되도록 합니다.

중요성 – 기존 스캐너(Nuclei, OWASP ZAP, 상용 DAST)는 알려진 패턴만 감지할 수 있습니다. Xalgorix는 추론 중심의 발견과 악용 검증 단계를 추가하여 오탐을 획기적으로 줄이고 구체적인 개념 증명 증거를 제공합니다.

핵심 구성 요소

구성 요소	역할
LLM 기반 에이전트	정찰, 인증 흐름 처리, 취약점 발견, 악용 체인을 구동합니다. OpenAI 호환 공급자(OpenAI, Anthropic, Gemini, Groq, Ollama 등)를 지원합니다.
독립 검증기	새로운 LLM 호출로 각 발견 사항을 다시 실행하여 발견이 보고되기 전에 악용이 작동하는지 확인합니다.
웹 대시보드	스캔 시작, 실시간 원격 측정, 발견 관리, PDF 보고서 생성을 위한 로컬 UI(`http://127.0.0.1:9137`).
도구 세트	사전 설치된 공격적 보안 바이너리(nmap, nuclei, httpx, subfinder, ffuf, sqlmap, masscan 등)와 즉석 설치를 위한 전체 패키지 관리자 액세스(apt, go, pipx, npm, cargo).
API / 서비스 모드	CI/CD 또는 사용자 지정 통합을 위한 시스템 간 토큰 인증.
통합	선택적 Discord/Telegram 알림, 이메일 기반 OTP 흐름용 AgentMail, Caido 프록시 지원.

사용 방법

설치 – 한 줄 스크립트, Go 설치, Docker 이미지 또는 소스에서 빌드.
구성 – xalgorix --setup을 실행하여 LLM 공급자를 선택하고 API 키를 입력하고 선택적 프록시 설정을 지정합니다.
시작 – 대시보드(xalgorix --web)를 시작하거나 CLI/API를 통해 헤드리스 스캔을 실행합니다.
모니터링 – 실시간 WebSocket 원격 측정이 도구 호출, LLM 메시지, HTTP 활동을 표시합니다.
검증 – 내장 검증기가 각 후보 발견 사항을 자동으로 다시 악용합니다.
보고 – CVSS 점수, PoC 스크린샷, 수정 지침이 포함된 브랜드 PDF를 생성합니다.

주요 기능

악용 검증된 발견 – 별도의 검증기가 보고서에 표시되기 전에 각 취약점을 확인합니다.
자체 LLM 사용 – 호환 가능한 모델을 사용하세요. 비용, 추론 깊이, 속도 제한을 제어할 수 있습니다.
자체 호스팅 및 프라이빗 – 모든 데이터, 키, 스캔 결과가 인프라에 유지됩니다. 클라우드 전용 SaaS 종속이 없습니다.
광범위한 도구 체인 – 수십 개의 펜테스트 유틸리티가 번들로 제공되며 런타임에 누락된 종속성을 자동 설치할 수 있습니다.
다중 스캔 모드 – 단일 대상, 와일드카드, 다중 대상, '코드 스캔'(외부 호스트 불필요) 워크플로.
자동화 친화적 – API 토큰 인증, PR 보안 검토용 GitHub 앱, CI 파이프라인용 GitHub Action.
안전 제어 – 일회용 컨테이너 내에서만 권한으로 실행됩니다. 대시보드는 기본적으로 localhost에 바인딩됩니다. 외부 액세스에는 명시적 인증이 필요합니다.

일반적인 사용 사례

시나리오	Xalgorix가 어떻게 도움이 되는지
웹 앱 펜테스트	전체 방법론을 실행하고 인증 흐름을 처리하며 IDOR/BOLA, 경쟁 조건을 찾고 악용 검증된 증거를 제공합니다.
버그 바운티 프로그램	공격 표면을 빠르게 열거하고 PoC와 함께 검증된 CVSS 점수 발견을 표면화합니다.
레드팀 정찰	와일드카드/다중 대상 스캔이 외부 자산을 매핑한 다음 브라우저 자동화를 통해 DAST를 심층 분석합니다.
CI/CD 보안 게이트	GitHub 앱이 자동 보안 검토로 PR에 댓글을 답니다. CI 작업은 검증된 발견 시 병합을 차단할 수 있습니다.
지속적 모니터링	시스템 서비스로 실행하고 스캔을 예약하며 Discord/Telegram으로 알림을 푸시합니다.

빠른 시작

# 한 줄 설치 (Linux/macOS)
curl -sSL https://www.xalgorix.com/install | bash

# 대화형 설정 마법사 실행
xalgorix --setup

# 대시보드 시작 (기본 http://127.0.0.1:9137)
xalgorix --web

또는 Docker 이미지 사용:

docker run --rm -p 9137:9137 \
  --privileged -v xalgorix-data:/data \
  xalgord/xalgorix:latest

라이선스 및 커뮤니티

라이선스: Apache 2.0 (허용적, 상업적으로 친화적).
Stars / forks: GitHub 배지에서 확인 가능.
스폰서: Swiftproxy는 지역 테스트를 위한 주거용 프록시 할인을 제공합니다.
호스팅 SaaS 옵션: www.xalgorix.com은 내장 LLM 키와 OOB 서비스를 갖춘 관리형 버전을 제공합니다.

결론: Xalgorix는 LLM 추론과 완전한 공격적 보안 도구 체인을 결합하여 검증된 취약점 발견을 제공하는 진정한 오픈소스 프로젝트입니다. 데이터와 LLM 비용에 대한 완전한 제어를 유지하면서 자율적이고 자체 호스팅되는 펜테스트 엔진이 필요한 보안 팀에 적합합니다.