文章总结： Xalgorix是一款自托管AI安全测试平台，集成LLM智能代理与22阶段测试方法论，支持侦察、注入、SSRF到零日发现等全流程渗透测试。平台提供浏览器自动化、实时漏洞管理及品牌化报告生成，强调仅限授权目标使用并需配置安全认证。文档包含部署指南与安全红线提醒。 综合评分： 85 文章分类： 渗透测试,安全工具,解决方案,AI安全,漏洞分析

2026 安全圈最卷工具：1 个命令起建，22 阶段 AI 渗透测试 + DAST 浏览器自动化

原创

菜狗 菜狗

只会看监控的实习生

2026年6月2日 08:00 广东

在小说阅读器读本章

去阅读

Xalgorix — AI 驱动的安全测试平台

自托管 AI 安全测试平台，专为授权渗透测试与漏洞赏金设计。集成 LLM 智能代理、浏览器自动化、22 阶段测试方法论与实时 WebSocket 遥测，一站式完成扫描、发现、验证与报告。

🚀 三分钟上手

# 1. 克隆并编译
git clone https://github.com/xalgord/xalgorix.git
cd xalgorix && make build
sudo install -m 755 build/xalgorix /usr/local/bin/xalgorix

# 2. 配置 API Key
echo 'XALGORIX_LLM=minimax/MiniMax-M2.7
XALGORIX_API_KEY=your_key' > ~/.xalgorix.env

# 3. 启动
xalgorix --web

访问 http://127.0.0.1:9137，默认账号 admin / Qaz@123#（生产环境请立即修改）。 访问 http://127.0.0.1:9137，默认账号 admin / Qaz@123#（生产环境请立即修改）。

🛠 核心能力

• 智能扫描编排 单目标、多目标、通配符枚举与 DAST 浏览器辅助测试四种模式，支持按需选择 22 个测试阶段（从侦察、注入、SSRF、IDOR 到云安全、零日发现），避免无效测试。
• • LLM 自主决策 支持 OpenAI、Anthropic、DeepSeek、Groq、Gemini、Ollama、MiniMax 等主流模型，通过前缀自动识别服务商（如 openai/gpt-5.4），也可接入自定义 OpenAI 兼容接口。
• 实时漏洞管理 WebSocket 实时推送工具调用、漏洞发现与 LLM 思考过程；支持 CVSS 评级、严重等级过滤、验证工作流，结果可直接生成品牌化 PDF 报告（含公司 Logo）。
• 集成生态 内置 AgentMail 测试邮箱（验证邮件、OTP 流程）与 Discord 通知，支持代理轮询、速率限制与资源阈值管控，适配企业合规要求。
• 安全沙箱 默认仅监听 127.0.0.1；对外暴露必须强制开启仪表盘认证（支持 bcrypt 密码哈希）。资源感知实例限制 + 路径策略保护，防止误操作。

📐 22 阶段测试方法论

侦察 → 手工发现 → 目录爆破 → CORS/Cookie 分析 → 认证测试 → 注入 → SSRF → IDOR → API/GraphQL → 文件上传 → 反序列化/RCE → 竞态条件 → 子域名接管 → 开放重定向 → 邮件安全 → 云基础设施 → WebSocket → CMS 专项 → 断链劫持 → 利用验证 → 零日发现 → 最终报告。

📦 部署方式

• Docker / 源码：make build 一键构建 React 前端 + Go 后端 • 系统服务：sudo xalgorix –start 直接注册为 systemd 服务 • Go 直装：go install github.com/xalgord/xalgorix/v4/cmd/xalgorix@latest

🛡️ 安全红线

• 仅测试授权目标，禁止对第三方系统执行主动扫描
• 启动前审查 –instruction 自定义指令，避免破坏性测试
• 外部访问必须配置 XALGORIX_USERNAME + XALGORIX_PASSWORD
• 自动安装安全工具默认仅 root 可启用，非信任环境勿开

项目地址

https://github.com/xalgord/xalgorix

低价出售安全证书不限于cisp、pte等cnvd、请Vme～建了一个项目群，想进群的请回复进群即可

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：只会看监控的实习生 菜狗 菜狗《2026 安全圈最卷工具：1 个命令起建，22 阶段 AI 渗透测试 + DAST 浏览器自动化》