新一代 AI 自动化渗透工具 Xalgorix
原创
仙草里没有草噜丶
仙草里没有草噜丶
泷羽Sec
2026年10月20日 00:16
湖南
去阅读
平时做 Web 安全测试，扫描结束以后还得整理结果、筛选漏洞，再把证据和修复建议放进报告里。如果测试目标比较多，这些事情加起来也挺费时间的。最近发现一个开源项目 Xalgorix，它把 AI Agent 和安全测试工具结合起来，扫描任务、执行进度、漏洞发现和 PDF 报告都能在网页中查看。
项目地址：https://github.com/xalgorix/xalgorix
一、打开网页之后，可以看到什么？
Xalgorix 是一款可以自行部署的 AI 渗透测试工具，使用 Docker 启动后，可以通过浏览器访问管理界面。它集成了 Nmap、Nuclei、httpx、subfinder 等常见安全工具，也能调用配置好的大模型来参与测试。
从仪表盘可以看到扫描任务、漏洞统计、近期记录和系统资源等信息。左侧还提供扫描列表、漏洞发现、实时活动和报告等入口。跟只在终端显示结果的工具相比，任务都放在网页里管理，查看起来更直接。
二、扫描过程中发生了什么？
进入扫描详情后，可以看到任务当前处于哪个阶段、发现了多少问题，以及不同测试阶段的进度。项目采用分阶段的测试流程，包含信息收集、目录与文件发现、注入测试、访问控制检查等内容。
扫描运行时，网页还可以显示工具调用、Agent 消息和漏洞发现等活动。这样就算任务需要运行一段时间，也不用一直守着命令行等结果。
不过，AI 自动执行并不代表一定能找到所有问题。不同应用的认证方式和业务逻辑可能差别很大，实际结果也会受到模型能力和目标环境的影响。
三、漏洞结果和报告也在网页里
发现的问题会集中显示在漏洞列表中，可以查看严重程度、漏洞名称和相关地址。Xalgorix 还有独立的漏洞验证环节，会尝试重新验证候选发现，再记录相应的结果和证据。
测试结束后，可以生成 PDF 报告，整理漏洞风险、验证信息和修复建议。对于需要向开发人员提交问题的人来说，这比把终端输出复制到文档里再重新整理方便一些。
需要注意的是，自动生成的报告仍然需要人工检查。特别是影响范围和修复建议，最好结合实际应用再确认，不要直接把模型输出当作最终结论。
四、如何部署？
官方提供 Docker 部署方式。先确保服务器已经安装 Docker，然后执行：
textcurl -sSLO https://raw.githubusercontent.com/xalgorix/xalgorix/main/docker-compose.yml
docker compose up -d
docker compose logs -f
首次启动时，可以通过日志查看自动生成的管理员密码。之后访问 http://服务器地址:9137，进入网页设置页面配置模型和 API Key。项目也支持 Ollama 本地模型，具体使用哪种模型，需要根据自己的环境和预算来选择。
有一点要特别留意：项目的扫描容器需要较高权限才能使用部分底层安全工具，因此不要随意把管理面板直接暴露在公网。部署时应设置登录凭据、限制访问来源，并且只对自己拥有或明确获得授权的目标进行测试。
最后
Xalgorix 比较适合想研究 AI 自动化测试流程的人。扫描任务、执行状态和漏洞报告都集中在网页中，可以先在隔离靶场里试一遍，再看它对自己的测试流程有没有帮助。模型调用还可能产生额外费用，服务器资源也需要根据实际任务量来决定。
服务器推荐
轻量应用服务器：
https://boheidc.com/
高防服务器：
香港裸金属服务器
往期推荐
使用DeepSeek Harness进行渗透测试，dsh-pentest他来了
这几个开源项目，帮你省99%的token
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论