XPFarm

Una plataforma de seguridad ofensiva aumentada con IA de código abierto que envuelve herramientas de seguridad conocidas detrás de una interfaz web unificada — con escaneo distribuido, informes generados por IA, un planificador de escaneo inteligente, un gráfico de ataque interactivo y un SDK de plugins comunitario.

También echa un vistazo a ObsidianBox Modern en Google Play.

Índice

Por qué

Herramientas como Assetnote son excelentes — bien mantenidas, actualizadas y transparentes en la identificación de vulnerabilidades. Pero no son de código abierto. Tampoco es necesario reinventar la rueda, ya que existen muchas herramientas sólidas de código abierto. XPFarm las integra para que puedas tener un escáner de vulnerabilidades que sea de código abierto y menos corporativo.

El enfoque estuvo en construir un escáner de vulnerabilidades donde puedas ver qué falla o se elimina en segundo plano, en lugar de preguntarte sobre el misterio. Todo lo que hace el pipeline de escaneo se muestra al usuario.

Herramientas integradas

• Subfinder — descubrimiento de subdominios
• Naabu — escaneo de puertos
• Httpx — sondeo HTTP
• Nuclei — escaneo de vulnerabilidades
• Nmap — escaneo de redes
• Katana — rastreo de JS
• URLFinder — descubrimiento de URL
• Gowitness — capturas de pantalla
• Wappalyzer — detección de tecnologías
• CVEMap — mapeo de CVE

Créditos

Mapa de arquitectura

flowchart TB
    subgraph ENTRY["Entrypoint — main.go"]
        M1["Parse Flags (-debug)"]
        M2["InitDB — SQLite + WAL + GORM"]
        M3["InitModules — 10 tool wrappers"]
        M4["Load Plugins — normalization/all + plugins/all"]
        M5["Health Check — auto-install missing tools"]
        M6["CheckAndIndexTemplates — Nuclei versioning"]
        M7["StartServer — Gin on :8888"]
        M1 --> M2 --> M3 --> M4 --> M5 --> M6 --> M7
    end

    subgraph UI_LAYER["Web UI — internal/ui/server.go"]
        direction TB
        GIN["Gin HTTP Server\nEmbedded templates + static\nCSRF origin-check middleware"]

        subgraph Pages["HTML Pages"]
            P1["Dashboard — SSE live stage progress"]
            P2["Assets & Targets"]
            P3["Global Search — paginated + truncation"]
            P4["Scan Graph — Cytoscape.js"]
            P5["Bug Bounty Reports"]
            P6["AI Scan Planner"]
            P7["Workers & Jobs"]
            P8["Overlord Chat + Binary Upload"]
            P9["Modules"]
            P10["Settings — AES-256-GCM encrypted"]
        end

        GIN --> Pages
    end

    subgraph SCAN_ENGINE["Scan Engine — internal/core/"]
        direction TB
        SM["ScanManager\nSingleton, mutex-guarded\nPanic recovery + SSE broadcast"]

        subgraph PIPELINE["8-Stage Scanning Pipeline"]
            direction TB
            S1["1. Subfinder — Subdomain Discovery"]
            S2["2. Filter & Save — Cloudflare / Localhost / Alive"]
            S3["3. Naabu — Port Scanning (5-worker pool)"]
            S4["4. Nmap — Service + Version Detection"]
            S5["5. Httpx — HTTP Probing + Metadata"]
            S6["6. Parallel Web — Screenshots, Crawl, URLs, Tech"]
            S7["7. CVEMap — CVE lookup by product/tech"]
            S8["8. Nuclei — Vulnerability Scanning"]
            S1 --> S2 --> S3 --> S4 --> S5 --> S6 --> S7 --> S8
        end

        SM --> PIPELINE
    end

    subgraph REPORTS["Bug Bounty Reports — internal/reports/"]
        RG["GenerateReport()\nCollects DB context + graph\nOverlord AI generation\nFallback built-in templates"]
        RF["Formats: Markdown · PDF · HackerOne · Bugcrowd"]
        RS["Storage: internal/storage/reports/"]
        RG --> RF --> RS
    end

    subgraph PLANNER["AI Scan Planner — internal/planner/"]
        PL["GenerateScanPlan()\nGathers asset/finding/graph context\nPolls Overlord for JSON plan\nFallback heuristic plan"]
        PC["Capability Registry — 26 capabilities\n10 built-in modules + 16 Overlord agents\nRisk levels: safe / active / destructive"]
        PS["ExecutePlanWithLogs()\nSSE log streaming per step\nRoutes builtin vs Overlord agent steps"]
        PL --> PC --> PS
    end

    subgraph DISTRIBUTED["Distributed Workers — internal/distributed/"]
        DW["Worker Binary — cmd/worker/main.go\n./xpfarm-worker -controller http://host:8888"]
        DC["Controller — token auth, heartbeat monitor\nAtomically claims jobs from queue"]
        DS["Scheduler — BestWorkerForTool()\nRoutes by capability + active job count"]
        DJ["Job Queue — internal/storage/jobs/\nClaim via DB transaction, 30min timeout"]
        DW --> DC --> DS --> DJ
    end

    subgraph OVERLORD["Overlord — AI Agent Subsystem"]
        OV_PROXY["Overlord Proxy — internal/overlord/"]

        subgraph OV_AGENTS["22 Specialized Agents"]
            OA1["Binary RE — re-explorer, re-debugger, re-decompiler, re-scanner"]
            OA2["APK — apk-recon, apk-dynamic, apk-decompiler"]
            OA3["Web + Exploit — web-tester, re-exploiter, secrets-hunter, recon"]
        end

        subgraph OV_TOOLS["70+ TypeScript Tools"]
            OT1["radare2, ghidra, binwalk, frida, angr, strings"]
            OT2["semgrep, gitleaks, gau, corscanner, whatweb"]
            OT3["git_dumper, js_scraper, crypto_solver, ropper"]
        end

        subgraph PROVIDERS["21 AI Providers"]
            PR1["Anthropic · OpenAI · Groq · DeepSeek"]
            PR2["Ollama (local) · xAI · OpenRouter · Cerebras"]
        end

        OV_PROXY --> OV_AGENTS
        OV_PROXY --> OV_TOOLS
        OV_PROXY --> PROVIDERS
    end

    subgraph SCAN_GRAPH["Scan Graph — internal/graph/"]
        GB["BuildGraph() — queries 5 tables\nDeduplicates nodes + edges"]
        subgraph GNODES["Node Types"]
            GN1["asset #8b5cf6"]
            GN2["target #0ea5e9"]
            GN3["service #10b981"]
            GN4["tech #f59e0b"]
            GN5["vuln #ef4444"]
            GN6["exploit #dc2626"]
        end
        GB --> GNODES
    end

    subgraph DATABASE["Database — internal/database/ + internal/storage/"]
        DB["SQLite + WAL Mode\nGORM ORM\n10 open / 5 idle conns, 64MB WAL cap"]
        subgraph MODELS["Data Models"]
            DM1["Asset · Target · Port · WebAsset"]
            DM2["Vulnerability · CVE · ScanResult"]
            DM3["ScanProfile · NucleiTemplate · SavedSearch"]
            DM4["Setting (AES-256-GCM encrypted)"]
            DM5["Report · Plan · WorkerRecord · JobRecord"]
        end
        DB --> MODELS
    end

    subgraph DOCKER["Docker — docker-compose.yml"]
        DC1["xpfarm — Go app :8888"]
        DC2["overlord — OpenCode :3000"]
        DC3["mobsf — Mobile scan :8000 (optional)"]
        DC1 <-->|xpfarm-network| DC2
        DC1 <-->|xpfarm-network| DC3
    end

    M7 --> GIN
    GIN --> SCAN_ENGINE
    GIN --> REPORTS
    GIN --> PLANNER
    GIN --> DISTRIBUTED
    GIN --> OVERLORD
    GIN --> SCAN_GRAPH
    GIN --> DATABASE

Overlord — Análisis con IA

Overlord es un agente de IA integrado impulsado por OpenCode que puede analizar binarios, archivos comprimidos, APK y objetivos web. Sube un archivo y chatea con él: el agente usa radare2, strings, triaje de archivos, Frida y más para investigar tu objetivo.

• Salida en vivo en streaming — ve pensamientos, llamadas a herramientas y resultados a medida que ocurren
• Historial de sesiones — cambia entre sesiones anteriores, se restaura automáticamente al recargar la página
• Múltiples proveedores — Anthropic, OpenAI, Groq, Ollama (local), DeepSeek, xAI y más de 15
• Botón de parada — aborta análisis largos en cualquier momento
• Más de 70 herramientas TypeScript — radare2, Ghidra, Frida, binwalk, angr, Semgrep, Gitleaks y más
• 22 agentes especializados — RE de binarios, análisis de APK, pruebas web, generación de exploits, caza de secretos
• Límite de subida de 500 MB con validación de tipo MIME

Informes de Bug Bounty

Genera informes de divulgación profesionales a partir de los hallazgos de tu escaneo con un solo clic. Overlord IA sintetiza tu inventario de activos, hallazgos de vulnerabilidades, contexto del gráfico y datos CVE en un informe pulido.

Formatos:

Cómo funciona:

1. Selecciona uno o más activos para incluir
2. Elige el formato y un título opcional
3. Overlord IA genera un informe estructurado a partir de tus hallazgos en vivo + gráfico de ataque
4. Descarga como .md, .html o .pdf — o copia el Markdown sin procesar
5. Los informes se guardan y se pueden volver a descargar en cualquier momento

Planificador de escaneo con IA

Overlord selecciona los pasos óptimos de reconocimiento y explotación para tus objetivos basándose en lo que ya se ha descubierto — inventario de activos, hallazgos existentes, estructura del gráfico y capacidades de herramientas disponibles.

Modos:

Cómo funciona:

1. Selecciona activos objetivo, modo y límites de pasos
2. Overlord IA analiza tus datos existentes y genera un plan JSON priorizado
3. Cada paso muestra: herramienta/agente, objetivo, razonamiento y salida esperada
4. Haz clic en Ejecutar para correr el plan — los pasos transmiten progreso en vivo mediante SSE
5. Los planes se guardan y se pueden re-ejecutar en cualquier momento

Registro de capacidades: 10 módulos integrados + 16 agentes Overlord, cada uno etiquetado con nivel de riesgo (seguro / activo / destructivo) y categoría para filtrado por modo.

Trabajadores distribuidos

Ejecuta escaneos en múltiples máquinas en paralelo. Despliega nodos trabajadores en hosts remotos y se registran automáticamente con el controlador, solicitan trabajos, ejecutan herramientas localmente y envían los resultados de vuelta.

Desplegar un trabajador:

./xpfarm-worker -controller http://xpfarm-host:8888 -id worker-1 -labels high-bandwidth,internal

Cómo funciona:

• Los trabajadores se registran con un token criptográfico (32 bytes aleatorios, uno por trabajador)
• Latido cada 10 segundos — los trabajadores se marcan como desconectados tras 45 segundos sin señal
• Los trabajos se reclaman atómicamente mediante transacción de base de datos — sin doble ejecución
• El planificador enruta los trabajos al mejor trabajador disponible según capacidad y carga
• Tiempo de espera de 30 minutos por trabajo; los trabajos fallidos se reencolan al desconectarse el trabajador

Cola de trabajos: Crea trabajos desde la interfaz de Trabajadores o mediante POST /api/jobs/create. La cola muestra estado en vivo, trabajador asignado y salida del resultado.

Gráfico de escaneo

XPFarm construye un gráfico dirigido unificado de cada entidad descubierta durante el escaneo, lo que facilita responder preguntas como "¿qué servicios ejecutan tecnología con un exploit CVE activo?" o "muéstrame todo lo accesible desde este activo".

Tipos de nodos:

Ruta de ejemplo:

example.com (asset)
  └─owns──► www.example.com (target)
              ├─exposes──► 443/tcp https (service)
              │              └─runs──► nginx 1.24 (tech)
              ├─affected-by──► CVE-2023-44487 (vuln)
              │                   └─exploits──► Exploit: CVE-2023-44487
              └─affected-by──► http-missing-security-headers (vuln)

• Lienzo interactivo Cytoscape.js a página completa — zoom, desplazamiento, arrastre de nodos
• Panel izquierdo: filtra por tipo de nodo, gravedad de vulnerabilidad, tipo de arista
• Haz clic en cualquier nodo → panel lateral muestra todas las propiedades + enlace profundo a la página de detalle
• "Reconstruir gráfico" vuelve a consultar la base de datos en vivo

SDK de plugins

XPFarm es extensible mediante un SDK de plugins comunitario. Cualquiera puede añadir nuevas herramientas, agentes y pipelines sin tocar el código principal.

plugins/
├── all/all.go                    ← añade aquí la importación de tu plugin
├── example-echo/                 ← plantilla inicial minimalista
├── example-repo-scanner/         ← ejemplo de escáner de repositorio simulado
├── repo-semgrep/                 ← plugin Semgrep SAST (listo para producción)
└── repo-secrets/                 ← plugin Gitleaks + SecretFinder (listo para producción)

Escribir un plugin — tres pasos:

1. Crea plugins/mi-plugin/plugin.go — implementa Tool y/o Agent, llama a plugin.RegisterTool() / plugin.RegisterAgent() en init()
2. Crea plugins/mi-plugin/plugin.yaml — metadatos
3. Añade _ "xpfarm/plugins/mi-plugin" en plugins/all/all.go

GET /api/plugins lista todas las herramientas, agentes, pipelines y manifiestos registrados.

Motor de normalización de hallazgos

Las salidas sin procesar de los escáneres de Nuclei, Nmap, Semgrep y Gitleaks se normalizan en un modelo de Hallazgo unificado, enriquecido con inteligencia de amenazas en vivo, deduplicado y agrupado.

POST /api/normalize  {"source": "nuclei", "raw": {...}}
         │
         ▼  Adaptador (nuclei / nmap / semgrep / gitleaks)
         │  → Hallazgo canónico (CVE, CWE, gravedad, evidencia, etiquetas)
         │
         ▼  Enriquecedores (aplicados en orden)
         │  1. CWE   — trie de palabras clave de 40 reglas + mapa de 35 etiquetas (local, instantáneo)
         │  2. CVSS  — API REST NVD v2, CVSS 3.1→3.0→2.0, caché en proceso
         │  3. EPSS  — API de probabilidad de explotación de FIRST.org, caché en proceso
         │  4. KEV   — catálogo de vulnerabilidades explotadas conocidas de CISA (sync.Once)
         │
         ▼  Huella SHA-256 → deduplicar → agrupar por CWE/CVE/Gravedad/Objetivo
         │
         ▼  Almacenamiento SQLite (FindingRecord + GroupRecord)

Novedades

• Informes de Bug Bounty — Informes generados por IA en Markdown, PDF, HackerOne y Bugcrowd a partir de hallazgos en vivo y contexto del gráfico
• Planificador de escaneo con IA — Overlord selecciona los pasos óptimos de reconocimiento/explotación; registro de 26 capacidades con niveles de riesgo; registro de ejecución en vivo mediante SSE
• Trabajadores distribuidos — Despliega nodos trabajadores en máquinas remotas; autenticación por token; reclamo atómico de trabajos; monitor de latidos; binario ./xpfarm-worker
• Gráfico de escaneo — Visualización interactiva Cytoscape.js de activos→objetivos→servicios→tecnologías→vulnerabilidades→exploits; filtro por tipo/gravedad/tipo; clic para inspeccionar
• Secretos cifrados en reposo — Las claves API en SQLite están cifradas con AES-256-GCM; clave generada automáticamente en data/.xpfarm.key
• Progreso de escaneo en tiempo real — El panel transmite actualizaciones de etapa en vivo mediante SSE
• Paginación de búsqueda — 100 filas/página con advertencia de truncamiento
• Recuperación de pánico en gorutinas — Los pánicos en gorutinas de escaneo se capturan, registran y limpian
• Protección CSRF — Las solicitudes POST de origen cruzado son rechazadas; solo se acepta localhost
• Endurecimiento de subida de archivos — Las subidas de binarios tienen un límite de 500 MB con validación MIME
• Superficies de fallo silencioso — Errores de importación CSV, fallos de análisis de Nuclei y truncamiento de búsqueda se reportan al usuario
• Fijación de versiones de herramientas — Las 10 herramientas están fijadas en el Dockerfile; ./xpfarm.sh update para actualizaciones optativas
• Ajuste de conexiones de base de datos — Grupo de 10 conexiones abiertas / 5 inactivas; límite de WAL de 64 MB
• Escáner de repositorios — Repositorios Git como objetivos de primera clase; pipeline de 7 etapas (SAST, secretos, SBOM)
• SDK de plugins — Sistema de herramientas/agentes/pipelines extensible por la comunidad

Configuración

# Recomendado
./xpfarm.sh build     # Construir todos los contenedores
./xpfarm.sh up        # Iniciar todo (xpfarm :8888 + overlord :3000)
./xpfarm.sh update    # Reconstruir con las últimas versiones de herramientas (actualización optativa)

# Windows
.\xpfarm.ps1 build
.\xpfarm.ps1 up

# Docker estándar
docker compose up --build

# Compilar desde código fuente (sin Overlord)
go build -o xpfarm
./xpfarm
./xpfarm -debug

Capturas de pantalla

Pendientes

• Configuración personalizada de modelos
• Integración de escaneo móvil
• Interfaz de Escáner de Repositorios — página web para añadir repos, activar escaneos, ver hallazgos y SBOM
• Coincidencia de vulnerabilidades SBOM — cruzar dependencias del SBOM contra bases de datos CVE/GHSA
• Soporte de módulos personalizados