Xalgorix — 脆弱性を実証するオープンソースAIペネトレーションテスター

ほとんどのスキャナーは検出するだけ。Xalgorixは実証します。 自律型LLMエージェントがペネトレーションテストの全手法を遂行し、その後独立した検証器がすべての検出結果を再エクスプロイトしてから報告します。だから得られるのは、トリアージすべき「かもしれない」の山ではなく、確かな証拠です。セルフホスト型でプライベート、LLMはご自身のものをお使いいただけます。Go + TypeScriptで構築されています。

🚀 クイックスタート · 💡 Xalgorixを選ぶ理由 · ✨ 機能 · 🎯 ユースケース · ☁️ セルフホストかクラウドか · 📖 ドキュメント · 💬 ディスカッション

🖥️ セルフホスト — このリポジトリ	☁️ Xalgorix Cloud — インストール不要
無料でApache-2.0。ご自身のLLMキーを使ってお使いのマシンで動作するか、Ollamaで完全ローカルに実行できます。検出結果とレポートはお客様のインフラ内に留まります。	同じエクスプロイト検証エンジンをブラウザで。モデル、アウトオブバンドコールバック、スケジューリングはすべてお任せ。パックは$10から、クレジットは失効しません。
2つのコマンドでインストール ↓	セルフホストとクラウドを比較 →

🤖 PRレビューだけが必要ですか？無料のXalgorix GitHub Appがすべてのプルリクエストにセキュリティレビューをコメントします — アカウントもAPIキーも不要です。

📸 スクリーンショット

🖥️ セルフホスト型ダッシュボード — 127.0.0.1:9137 でローカルに動作

概要ダッシュボード	スキャン詳細	検出結果

☁️ Xalgorix Cloudダッシュボード — www.xalgorix.com のマネージド版

🤝 スポンサー

Xalgorixをスポンサーいただいている**Swiftproxy**に感謝します。

アプリケーションの動作は、リクエストの発信元によって異なる場合があります。自身のアプリケーションを地域ごとに確認するXalgorixユーザー向けに、Swiftproxyは地域ごとの動作を確認できるロケーションターゲティングと、テストセッション中に一貫したIPを維持するのに役立つスティッキーセッションを提供しています。Xalgorixがサポートするのと同じプロキシプロトコルであるHTTP(S)およびSOCKS5をサポートしています。

レジデンシャルプロキシは**$0.70/GBから。無料テストが利用可能で、XalgorixユーザーはコードPROXY90で10%オフ**になります。

Swiftproxyを試して無料テストをリクエスト →

🚀 クイックスタート

インストール（1行）:

curl -sSL https://www.xalgorix.com/install | bash

これにより、最新リリースからお使いのプラットフォーム（Linux または macOS、amd64/arm64）向けのビルド済みバイナリがダウンロードされます。

または、Go 1.26 以降でインストールする場合:

go install github.com/xalgord/xalgorix/v4/cmd/xalgorix@latest

xalgorix を実行する前に、$(go env GOPATH)/bin（または GOBIN）が PATH に含まれていることを確認してください。

次に、対話式セットアップウィザードを実行します:

xalgorix --setup

プロバイダーを選択し、モデルを確認して、プロンプトが表示されたら API キーを入力します。最良の結果を得るには、強力な推論能力、長いコンテキストでの性能、信頼性の高いツール呼び出しを備えた最新のフロンティアモデル（利用可能な最新の高性能な GPT、Claude、Gemini モデルなど）を使用してください。小規模なモデルやローカルモデルも引き続きサポートされていますが、長時間の自律スキャンではより多くの監督が必要になる場合があります。Xalgorix はキーを ~/.xalgorix.env（モード 0600）に非公開で保存し、ダッシュボードを起動できます。ローカルの Ollama には API キーは不要です。

すぐに起動しない場合は、後で xalgorix --web で起動し、http://127.0.0.1:9137 を開いてください。プロバイダーや詳細オプションは Settings → LLM でいつでも変更できます。または xalgorix --setup を再実行してください。

または Docker で実行 — 必要なものがすべて揃っており、ツールチェーンは不要:

docker run --rm -p 9137:9137 \
  --privileged \
  -v xalgorix-data:/data \
  xalgord/xalgorix:latest

--privileged を指定すると、ネイティブで root として実行した場合と同じホスト相当のアクセス権がツールセットに付与されます。Docker のデフォルトサンドボックスはケーパビリティ（NET_ADMIN など）を剥奪し、seccomp フィルタを適用するため、低レベルのツール（iptables/route の変更、ARP スプーフ/MITM、tun/tap VPN、ptrace ベースのデバッガ、masscan のインターフェース調整）が動作しなくなります。イメージ自身がこれらの権限を付与することはできないため、実行時に設定する必要があります。このコンテナは root として実行される使い捨てのネットワーク分離型スキャンサンドボックスであり、privileged は意図された構成です。認証なしでダッシュボードを公開しないでください。最小権限を優先しますか？ --privileged を --cap-add=NET_ADMIN --cap-add=NET_RAW --cap-add=SYS_PTRACE --security-opt seccomp=unconfined に置き換えてください。

http://localhost:9137 を開きます。開始するのに LLM キーは必要ありません — ダッシュボードはキーなしで起動します。モデルと API キーは Settings → LLM で設定してください（/data ボリュームに永続化されます）。XALGORIX_USERNAME/XALGORIX_PASSWORD を渡さない場合、初回実行時にランダムな管理者パスワードが生成され、コンテナログに出力されます。

マシン間 API アクセス — 自動化（独自のバックエンド、CI、スクリプト）には、ダッシュボードの認証情報ではなく専用の Authorization: Bearer トークンを付与してください。XALGORIX_API_TOKEN（またはカンマ区切りのローテーションセットには XALGORIX_API_TOKENS）を設定します。マシントークンは /api/* ルートとスキャンイベント WebSocket のみを認可し、ダッシュボード UI やオペレーター専用の設定ルートは決して認可しません。ブラウザセッションを作成することも、ダッシュボードのログインレートリミッターとやり取りすることもなく、保存された SHA-256 ダイジェストに対して定数時間比較で照合されます。人間によるダッシュボードログイン（XALGORIX_USERNAME + XALGORIX_PASSWORD_HASH）は、これらと併用してそのまま機能し続けます。

最も簡単な方法 — Docker Compose（ポートと永続ボリュームを自動的にマッピングします）:

curl -sSLO https://raw.githubusercontent.com/xalgorix/xalgorix/main/docker-compose.yml
docker compose up -d
docker compose logs -f   # shows the generated admin password on first start

このイメージには、広範な攻撃的セキュリティツールセット（nmap、nuclei、httpx、subfinder、katana、ffuf、gobuster、sqlmap、masscan、dalfox、feroxbuster など）がプリインストールされており、さらにすべてのパッケージマネージャー（apt、go、cargo、pipx、npm）も利用可能な状態に保たれているため、エージェントは実行時に不足しているものを自動インストールできます。設計上、コンテナ内で root として実行されます。コンテナは使い捨てのネットワーク分離されたスキャン用サンドボックスとして扱い、認証なしでダッシュボードを公開しないでください。イメージは amd64 と arm64 の両方で公開されています。

またはソースからビルドする（Go 1.26+ と Node.js が必要）：

git clone https://github.com/xalgorix/xalgorix.git
cd xalgorix
make build
sudo install -m 755 build/xalgorix /usr/local/bin/xalgorix

xalgorix v4.6.72