Xalgorix — أداة اختبار اختراق مفتوحة المصدر بالذكاء الاصطناعي تُثبت الثغرات

معظم الماسحات تكشف. Xalgorix تُثبت. يعمل وكيل LLM ذاتي وفق منهجية اختبار اختراق كاملة، ثم يعيد مُتحقّق مستقل استغلال كل نتيجة قبل الإبلاغ عنها — فتحصل على دليل، لا كومة من الاحتمالات لفرزها. مستضاف ذاتيًا، خاص، وبإمكانية إحضار LLM الخاص بك. مبني بـ Go + TypeScript.

🚀 البدء السريع · 💡 لماذا Xalgorix · ✨ الميزات · 🎯 حالات الاستخدام · ☁️ السحابة المستضافة · 📖 التوثيق

---

📸 لقطات الشاشة

🖥️ لوحة التحكم المستضافة ذاتيًا — تعمل محليًا على 127.0.0.1:9137

لوحة التحكم العامة	تفاصيل الفحص	النتائج

☁️ لوحة التحكم السحابية المستضافة — النسخة المُدارة بالكامل على www.xalgorix.com

---

🚀 البدء السريع

التثبيت (سطر واحد):```bash curl -sSL https://www.xalgorix.com/install | bash

يؤدي هذا إلى تنزيل الملف التنفيذي المُجمَّع مسبقًا لمنصتك (Linux أو macOS، amd64/arm64) من أحدث إصدار. ثم شغِّل معالج الإعداد التفاعلي:```bash
xalgorix --setup

اختر مزوّدك، وأكّد الطراز، وأدخل مفتاح API عند المطالبة. للحصول على أفضل النتائج، استخدم طرازًا متقدّمًا حديثًا يتمتّع بقدرات استدلال قوية وأداء جيد مع السياقات الطويلة واستدعاء موثوق للأدوات — مثل أحدث طراز قادر من GPT أو Claude أو Gemini المتاح لديك. تظل الطرازات الأصغر أو المحلية مدعومة، لكنها قد تتطلّب إشرافًا أكبر أثناء الفحوصات الذاتية الطويلة. يخزّن Xalgorix المفتاح بشكل خاص في ~/.xalgorix.env (الوضع 0600) ويمكنه تشغيل لوحة التحكم نيابةً عنك. لا يحتاج Ollama المحلي إلى مفتاح API.

إذا اخترت عدم التشغيل فورًا، فابدأ لاحقًا باستخدام xalgorix --web وافتح http://127.0.0.1:9137. يمكنك تغيير المزوّدين أو الخيارات المتقدّمة في أي وقت ضمن Settings → LLM، أو إعادة تشغيل xalgorix --setup.

أو شغّله باستخدام Docker — كل شيء جاهز، دون الحاجة إلى أي toolchain:```bash docker run --rm -p 9137:9137
--privileged
-v xalgorix-data:/data
xalgord/xalgorix:latest

`--privileged` يمنح مجموعة الأدوات نفس الوصول الشبيه بالمضيف الذي تحصل عليه عند التشغيل أصليًا كـ root. تُسقط بيئة Docker الافتراضية المعزولة القدرات (مثل `NET_ADMIN`) وتطبّق مرشّح seccomp، مما يعطّل الأدوات منخفضة المستوى (تغييرات iptables/route، انتحال ARP/MITM، شبكات tun/tap VPN، أدوات التصحيح المعتمدة على ptrace، ضبط واجهة masscan). وبما أن الصورة لا يمكنها منح نفسها هذه الصلاحيات، فيجب ضبطها في وقت التشغيل. الحاوية عبارة عن بيئة فحص معزولة شبكيًا وقابلة للتخلص منها تعمل كـ root — الوضع المميّز هو الوضع المقصود؛ لا تعرّض لوحة التحكم للعامة أبدًا دون مصادقة. تفضّل أقل صلاحية؟ استبدل `--privileged` بـ `--cap-add=NET_ADMIN --cap-add=NET_RAW --cap-add=SYS_PTRACE --security-opt seccomp=unconfined`.

افتح `http://localhost:9137`. **لا تحتاج إلى مفتاح LLM للبدء** — تُطلق لوحة التحكم بدونه؛ اضبط النموذج + مفتاح API تحت **Settings → LLM** (يُحفظ في وحدة التخزين `/data`). إذا لم تمرّر `XALGORIX_USERNAME`/`XALGORIX_PASSWORD`، فسيتم توليد كلمة مرور admin عشوائية وطباعتها في سجلات الحاوية عند أول تشغيل.

**الأسهل — Docker Compose** (يعيّن المنفذ + وحدة تخزين دائمة لك):```bash
curl -sSLO https://raw.githubusercontent.com/xalgorix/xalgorix/main/docker-compose.yml
docker compose up -d
docker compose logs -f   # shows the generated admin password on first start

تحتوي الصورة على مجموعة أدوات أمنية هجومية واسعة مثبتة مسبقًا (nmap، nuclei، httpx، subfinder، katana، ffuf، gobuster، sqlmap، masscan، dalfox، feroxbuster، والمزيد) و تحتفظ بجميع مديري الحزم (apt، go، cargo، pipx، npm) متاحة حتى يتمكن الوكيل من تثبيت أي شيء مفقود تلقائيًا في وقت التشغيل. يعمل كـ root داخل الحاوية بحكم التصميم — تعامل مع الحاوية كبيئة فحص معزولة عن الشبكة وقابلة للتخلص منها، ولا تعرض لوحة التحكم أبدًا بدون مصادقة. يتم نشر الصور لكل من amd64 و arm64.

أو البناء من المصدر (يتطلب Go 1.26+ و Node.js):```bash git clone https://github.com/xalgorix/xalgorix.git cd xalgorix make build sudo install -m 755 build/xalgorix /usr/local/bin/xalgorix

> [!TIP]
> تفضّل عدم الإعداد؟ نسخة مُدارة بالكامل تعمل على [www.xalgorix.com](https://www.xalgorix.com/) — فحص بنقرة واحدة، دون تثبيت أو مفاتيح API.

### 🤖 مراجعة طلبات السحب تلقائيًا — تطبيق GitHub مجاني

تريد مراجعة أمنية على كل طلب سحب دون أي إعداد؟ ثبّت **[تطبيق Xalgorix على GitHub](https://github.com/apps/xalgorix)**. يقرأ فرق كل طلب سحب ويعلّق بمراجعة أمنية — حقن، مصادقة معطوبة/IDOR، SSRF، أسرار، أنماط غير آمنة — مباشرة على طلب السحب. يُحدّث في مكانه عند الالتزامات الجديدة، ويمكنك التعليق بـ **`@xalgorix review`** لإعادة التشغيل عند الطلب. لا ملف سير عمل، لا مفتاح API، لا حساب — وهو مجاني.

<div align="center">

[**➕ أضف Xalgorix إلى GitHub →**](https://github.com/apps/xalgorix/installations/new)

</div>

لبوابات الدمج واختبارات الاختراق الكاملة الموثّقة بالاستغلال في CI، استخدم [الماسح المستضاف](https://www.xalgorix.com/) أو GitHub Action.

> [!IMPORTANT]
> استخدم Xalgorix فقط على الأنظمة التي تملكها أو لديك إذن صريح باختبارها.

> [!TIP]
> تفضّل عدم الاستضافة الذاتية؟ نسخة مُدارة بالكامل متاحة على [www.xalgorix.com](https://www.xalgorix.com/) — فحص بنقرة واحدة، دون تثبيت أو مفاتيح API.

## 📚 المحتويات