开源AI自主渗透测试平台Xalgorix部署与使用

第59号

2026年6月26日 16:00
北京

在小说阅读器读本章

去阅读

Xalgorix 简介

Xalgorix 是一个自托管的 AI 安全测试平台，适用于经授权的渗透测试和漏洞悬赏工作流。它融合了 LLM 驱动的智能体、浏览器自动化、终端工具、22 阶段测试方法、实时 WebSocket 事件、发现项管理、报告生成，以及与 AgentMail 和 Discord 的集成。默认界面为 Web UI。通过一个本地仪表板，用户就可以启动扫描、监控正在进行的任务、检查发现项、配置模型/提供商设置、管理环境变量、生成带品牌标识的 PDF 报告，以及删除或恢复历史扫描。

Xalgorix 项目开源地址为：

https://github.com/xalgord/xalgorix。

Xalgorix 架构

Xalgorix核心架构如下图所示，Xalgorix 架构设计的亮点在于 “AI 大脑 + 传统工具链双重验证”。它不仅仅是简单地封装模型 API，而是通过 22 阶段严谨的自动化安全测试生命周期，让 LLM 根据命令行工具的回显和网页抓取的上下文实时决策。系统特别强调了安全性（本地存储、权限拦截）与真实性（消除误报）

Xalgorix 本地部署

检查 Go 环境安装：

go version

克隆仓库：

git clone

https://github.com/xalgord/xalgorix.git

进行编译：

cd xalgorix
make build
sudo install -m 755 build/

xalgorix /usr/local/bin/xalgorix

创建配置文件并配置大模型 apikey：

vim ~/.xalgorix.env
XALGORIX\_LLM=custom/security-model
XALGORIX\_API\_BASE=

https://your-provider.example/v1
* XALGORIX\_API\_KEY=your\_provider\_key

最后启动即可：

xalgorix --web --bind 0.0.0.0

访问 http://ip:9137/，输入设置的账号密码后即可登录。

Xalgorix 使用测试

新建一个 Scan 任务，输入目标 URL 即可开始自动化渗透测试。

Xalgorix 会让 AI 决策渗透测试规划，对 22 个阶段进行动态组合。

点击 Events 窗口中的事件条目即可看到测试详情信息。

在 Findings 窗口中查看发现的漏洞。

点击漏洞条目即可查看漏洞详情，在漏洞详情中会包含 PoC 脚本、挖掘详情、漏洞影响等信息。

扫描可以随时终止并导出 PDF 报告。

总结

相对于其他 AI 原生渗透测试平台，Xalgorix 更像是一个 AI 驱动的渗透测试工作流。通过 AI 决策有机组合各个阶段和模块，这样的好处是能够以较小的 Token 开销获得远超传统 DAST Scanner 的检测效果，大幅降低 AI 渗透测试成本。但是，这也决定了 Xalgorix 中的 AI 只能起到指挥调度作用，无法发挥大模型本身的漏洞挖掘能力，而且也不支持人工介入。Xalgorix 适合预算有限的中小型组织作为自身安全能力的补充和 AI 扩展。