これにより、お使いのプラットフォーム（Linux または macOS、amd64/arm64）用のビルド済みバイナリが最新リリースからダウンロードされます。次に、対話形式のセットアップウィザードを実行します:```bash
xalgorix --setup

`--privileged` は、ネイティブで root として実行したときと同じホスト相当のアクセス権をツールセットに付与します。Docker のデフォルトサンドボックスはケーパビリティ（`NET_ADMIN` など）を剥奪し、seccomp フィルタを適用するため、低レベルツール（iptables/route の変更、ARP スプーフ/MITM、tun/tap VPN、ptrace ベースのデバッガ、masscan のインターフェース調整）が壊れます。イメージ自身がこれらを付与することはできないため、実行時に設定する必要があります。このコンテナは、root として実行される使い捨てのネットワーク分離スキャンサンドボックスです — privileged が意図された姿勢です。認証なしでダッシュボードを公開しないでください。最小権限を優先しますか？ `--privileged` を `--cap-add=NET_ADMIN --cap-add=NET_RAW --cap-add=SYS_PTRACE --security-opt seccomp=unconfined` に置き換えてください。

`http://localhost:9137` を開きます。**開始するのに LLM キーは必要ありません** — ダッシュボードはキーなしで起動します。モデルと API キーは **Settings → LLM** で設定してください（`/data` ボリュームに永続化されます）。`XALGORIX_USERNAME`/`XALGORIX_PASSWORD` を渡さない場合、初回実行時にランダムな管理者パスワードが生成され、コンテナログに出力されます。

**最も簡単 — Docker Compose**（ポートと永続ボリュームをマッピングします）：```bash
curl -sSLO https://raw.githubusercontent.com/xalgorix/xalgorix/main/docker-compose.yml
docker compose up -d
docker compose logs -f   # shows the generated admin password on first start

> [!TIP]
> セットアップ不要をお望みですか？フルマネージド版は [www.xalgorix.com](https://www.xalgorix.com/) で動作しています — クリックでスキャン、インストールも API キーも不要です。

### 🤖 プルリクエストを自動レビュー — 無料の GitHub App

セットアップ不要で、すべてのプルリクエストにセキュリティレビューを実施したいですか？ **[Xalgorix GitHub App](https://github.com/apps/xalgorix)** をインストールしてください。各 PR の diff を読み取り、セキュリティレビューをコメントします — インジェクション、認証の破綻/IDOR、SSRF、シークレット、安全でないパターン — をプルリクエスト上に直接。新しいコミットでその場で更新され、**`@xalgorix review`** とコメントすればオンデマンドで再実行できます。ワークフローファイルも、API キーも、アカウントも不要 — しかも無料です。

<div align="center">

[**➕ Xalgorix を GitHub に追加 →**](https://github.com/apps/xalgorix/installations/new)

</div>

マージゲートや CI での完全なエクスプロイト検証済みペネトレーションテストには、[ホステッドスキャナー](https://www.xalgorix.com/) または GitHub Action をご利用ください。

> [!IMPORTANT]
> Xalgorix は、あなたが所有するシステム、またはテストの明示的な許可を得たシステムでのみ使用してください。

> [!TIP]
> セルフホストを避けたいですか？フルマネージド版は [www.xalgorix.com](https://www.xalgorix.com/) で利用可能です — クリックでスキャン、インストールも API キーも不要です。

## 📚 目次

| | | |
| --- | --- | --- |
| 📸 [スクリーンショット](#-screenshots) | 🔩 [設定](#-configuration) | 🧾 [環境変数](#-environment-variables) |
| 🚀 [クイックスタート](#-quick-start) | 🆙 [アップグレード](#-upgrading-from-previous-versions) | 🔤 [プロバイダープレフィックス](#-provider-prefixes) |
| 🔎 [概要](#-overview) | 🏃 [実行](#-running) | 💻 [CLI リファレンス](#-cli-reference) |
| 💡 [Xalgorix を選ぶ理由](#-why-xalgorix) | 🧰 [サービスモード](#-service-mode) | 📡 [API サマリー](#-api-summary) |
| 🎯 [ユースケース](#-use-cases) | 🔁 [Web UI ワークフロー](#-web-ui-workflow) | 💾 [データストレージ](#-data-storage) |
| ✨ [機能](#-features) | 🔀 [スキャンモード](#-scan-modes) | 🧪 [開発](#-development) |
| 📥 [インストール](#-installation) | 📂 [コードをスキャン](#-scan-your-code-no-target-needed) | 🚨 [安全上の注意](#-safety-notes) |
| 🧭 [方法論](#-methodology) | 📄 [レポート](#-reports) | 📜 [ライセンス](#-license) |
| 🔧 [設定](#-settings) | 🔗 [リンク](#-links) | |

## 🔎 概要

Xalgorix は、許可されたセキュリティテスト、脆弱性評価、バグバウンティワークフローのためのセルフホスト型 AI ペネトレーションテストプラットフォームです。LLM 駆動の自律エージェント、ブラウザ自動化、ターミナルツール、包括的な 22 フェーズのテスト方法論、ライブ WebSocket テレメトリ、CVSS スコアリング付きの検出事項管理、ブランド化された PDF レポート生成、そして AgentMail、Discord、Telegram との連携を組み合わせています。

クラウド専用の DAST スキャナーとは異なり、Xalgorix は完全にあなたのマシン上で動作します。独自の LLM プロバイダー（OpenAI、Anthropic、DeepSeek、Gemini、Groq、Ollama、MiniMax）を持ち込み、モデル、推論の労力、レート制限、プロキシ設定を制御できます。スキャンデータ、API キー、ターゲット情報があなたのインフラストラクチャから外に出ることはありません。

デフォルトの体験は Web UI です。1 つのローカルダッシュボードから、スキャンの開始、実行中の監視、検出事項の検査、モデル/プロバイダー設定の構成、環境変数の管理、ブランド化された PDF レポートの生成、過去のスキャンの削除や再開ができます。

## 💡 Xalgorix を選ぶ理由

ほとんどのスキャナーは**検出**します。Xalgorix は**証明**します。自律エージェントが 22 フェーズの方法論を進め、その後、独立した検証者が報告前にすべての候補検出事項を再テストします — つまり、「かもしれない」の山をトリアージするのではなく、証拠を伴うエクスプロイト検証済みの結果が得られます。

- 🧠 **テンプレートエンジンではなく AI エージェント** — 認証フロー、ビジネスロジック、IDOR/BOLA、シグネチャスキャナーが見逃す連鎖エクスプロイトについて推論します。
- ✅ **エクスプロイト検証済みの検出事項** — 別の検証者が各検出事項を独立して再現します。結論が出ないものはレビュー用にフラグが立てられ、確認済みとして偽装されることは決してありません。
- 🔒 **セルフホストでプライベート** — 独自の LLM キーであなたのマシン上で動作します。ターゲットデータ、キー、検出事項があなたのインフラストラクチャから外に出ることはありません。
- 🧩 **独自の LLM を持ち込み** — OpenAI、Anthropic、DeepSeek、Gemini、Groq、Ollama、MiniMax — または [LiteLLM](#-litellm--openai-compatible-gateways-github-copilot-claude-opus-codex-openrouter-azure-local-models)（GitHub Copilot、Codex、OpenRouter、Azure）のような OpenAI 互換ゲートウェイ。モデル、推論の労力、コストを制御できます。
- 📄 **監査対応レポート** — CVSS スコア、概念実証、修復を含むブランド化された PDF。

### 📊 比較

|                                              | **Xalgorix**             | テンプレートスキャナー（例：Nuclei） | クローリングスキャナー（例：OWASP ZAP） | 商用 DAST        |
| -------------------------------------------- | ------------------------ | ------------------------------- | ---------------------------------- | ---------------------- |
| アプローチ                                     | 自律 AI エージェント      | シグネチャ / テンプレート          | スパイダー + アクティブルール              | シグネチャ + ヒューリスティック |
| ビジネスロジック / IDOR / 認証バイパスのカバレッジ | ✅                       | 限定的                         | 限定的                            | 部分的                |
| エクスプロイト検証済み（影響を証明）             | ✅ 独立した検証者  | ❌                              | ❌                                 | 部分的                |
| 誤検知の負荷                          | 低い（証明済み）             | テンプレート依存              | 高い                               | 中程度                 |
| セルフホスト / データがローカルに留まる               | ✅                       | ✅                              | ✅                                 | 通常はクラウド          |
| 独自の LLM を持ち込み                           | ✅                       | —                               | —                                  | ❌                     |
| ブランド化された PDF レポート                          | ✅                       | ❌                              | 基本                              | ✅                     |
| コスト                                         | オープンソース + あなたの LLM   | 無料                            | 無料                               | $$$                    |

> 方向性を示す比較です — Nuclei と ZAP はそれぞれの領域で優れています。Xalgorix は、推論を多用する発見とエクスプロイト検証のレイヤーをその上に追加します。

### ☁️ セルフホスト vs ホステッドクラウド

Xalgorix は無料でオープンソースです — 永久にセルフホストでき、条件はありません。[ホステッドクラウド](https://www.xalgorix.com/)は**同じ**エクスプロイト検証済みエンジンを実行します。これは、API キー、インフラストラクチャ、予測不能な LLM の請求を管理したくない人のために存在します。どちらも第一級です — 自分に合ったものを選んでください。

|                                    | **セルフホスト**（このリポジトリ）              | **[ホステッドクラウド](https://www.xalgorix.com/)**   |
| ---------------------------------- | ---------------------------------------- | ----------------------------------------------- |
| 開始時の価格                     | 無料、Apache-2.0                         | 無料枠 · 完全スキャン 1 回 $1 から               |
| LLM API キー                        | 独自に持ち込み・管理                  | 含まれる — 手間なし                      |
| スキャンあたりのコスト                      | 生の LLM トークン — 変動し、急増する可能性あり     | ライブホスト 1 件につき 1 クレジット — 予測可能            |
| セットアップと運用                        | ツールチェーンをインストール、更新、実行  | 実行するものなし — 約 60 秒でスキャン                   |
| アウトオブバンドインフラ（SSRF/ブラインド RCE） | 独自の OOB サーバーを立ち上げる             | マネージド OOB 込み                            |
| スケジューリング · チーム · RBAC           | 自分で行う                           | 組み込み                                        |
| 更新                            | `git pull` + 再ビルド                     | 常に最新エンジン                     |
| データレジデンシー / オフライン           | ✅ あなたのインフラに留まる · エアギャップ OK       | 当社のインフラ上で実行（DPA 利用可能）               |

**セルフホストを選ぶ場合** データがあなたのネットワークに留まる必要がある、完全な制御を望む、またはオフライン/エアギャップで実行する場合 — まさにそのためのものです。**クラウドを使う場合** API キー、インフラ、予期しないトークン請求を避け、実際にスキャンするライブホストに対してのみ支払いたい場合。

<div align="center">

[**☁️ ホステッドクラウドを試す — 無料 →**](https://www.xalgorix.com/) &nbsp;·&nbsp; [**⚖️ 実際のコストを比較（計算機） →**](https://www.xalgorix.com/hosted-vs-self-hosted)

</div>

Xalgorix がトリアージサイクルを節約してくれたなら、**[⭐ リポジトリにスターを付けてください](https://github.com/xalgorix/xalgorix)** — 他の人が見つける助けに本当になります。

## 🎯 ユースケース

| ユースケース | Xalgorix がどのように役立つか |
| -------- | ------------------ |
| **ペネトレーションテスト** | 許可されたターゲットに対して完全な 22 フェーズの方法論を実行します。AI エージェントが偵察、脆弱性の発見、インジェクションテスト、SSRF、IDOR、認証バイパス、競合状態などを処理し、報告前に検出事項を検証します。 |
| **バグバウンティハンティング** | Xalgorix をスコープ内のターゲットに向け、エージェントに攻撃対象領域を列挙させ、一般的な脆弱性クラスをテストさせ、CVSS スコアと概念実証の証拠を伴う検証済みの検出事項を浮かび上がらせます。 |
| **レッドチームオペレーション** | ワイルドカードおよびマルチターゲットスキャンモードを使用して、組織の外部攻撃対象領域をマッピングします。ブラウザ支援の DAST は、静的スキャナーが見逃す認証フロー、フォーム、ランタイム動作を処理します。 |
| **セキュリティリサーチ** | 新規脆弱性発見フェーズは、エージェントを既知のテンプレートマッチングを超えて押し進めます。独自の LLM（OpenAI、Anthropic、DeepSeek、Gemini、Ollama、MiniMax）を持ち込み、推論の深さとコストを制御できます。 |
| **継続的なセキュリティテスト** | `xalgorix --start` でシステムサービスとして実行します。スケジュールでスキャンし、検出事項を Discord や Telegram にストリーミングし、ステークホルダー向けにブランド化された PDF レポートを生成します。 |
| **DAST 自動化** | Web アプリケーション向けのブラウザ駆動テスト — 認証フロー、フォーム、JavaScript でレンダリングされたコンテンツ、ランタイム動作。プロキシトラフィック検査のために Caido と統合します。 |

## ✨ 機能

| 領域           | 機能                                                                                                                |
| -------------- | --------------------------------------------------------------------------------------------------------------------------- |
| 📊 ダッシュボード      | デフォルトで `127.0.0.1:9137` 上のローカル Web UI、スキャン管理、ライブステータス、一括スキャンアクション、過去のスキャン復元。 |
| 🔍 スキャン       | 選択可能な方法論フェーズを備えたシングルターゲット、DAST、ワイルドカード、マルチターゲットフロー。                                   |
| 📡 ライブテレメトリ | WebSocket 経由のツール呼び出し、エージェントメッセージ、検出事項、エラー、HTTP アクティビティ、LLM アクティビティ。                              |
| 🐞 検出事項       | スキャン詳細ページ、重大度フィルター、CVSS 詳細、検出事項インデックス、検証済み検出事項ワークフロー。                           |
| 📄 レポート       | ターゲット/会社名、アップロードされたロゴ、レポート一覧、開く/ダウンロード/削除アクションを含むブランド化された PDF レポート。                     |
| 🔔 連携   | AgentMail テスト受信トレイ、検証メール、OTP フロー、メールトリアージイベント、Discord および Telegram 通知。            |
| ⚙️ 設定  | LLM、AgentMail、Discord、Telegram、プロキシ、ランタイム、ブラウザ、認証、レート制限、リソースのダッシュボード設定。       |
| 🛡️ ランタイム安全性 | リソースを考慮したインスタンス制限と、認証付きで外部アクセスが明示的に構成されない限りループバックのみのバインド。         |

## 📥 インストール

最速の方法ではツールチェーンがまったく不要です。

### ⚡ ワンラインインストール（ビルド済みバイナリ）```bash
curl -sSL https://www.xalgorix.com/install | bash

ウィザードは再実行時に既存の設定を保持し、ターミナルでは API キー入力を非表示にし、完了時にオプションで Web UI を起動します。

### 🐳 Docker```bash
docker run --rm -p 9137:9137 \
  --privileged \
  -e XALGORIX_LLM=openai/gpt-5.6 \
  -e XALGORIX_API_KEY=your_openai_api_key \
  -v xalgorix-data:/data \
  ghcr.io/xalgord/xalgorix:latest

### 🔨 ソースからビルド```bash
git clone https://github.com/xalgorix/xalgorix.git
cd xalgorix
make build
sudo install -m 755 build/xalgorix /usr/local/bin/xalgorix

## 🔩 設定

Xalgorix はこの順序で設定を読み込みます。後のソースが前のソースを上書きします。

| 順序 | ソース                                                         |
| ----- | -------------------------------------------------------------- |
| 1     | `/etc/xalgorix.env`                                            |
| 2     | `sudo` 経由で起動された場合の `/home/<sudo-user>/.xalgorix.env` |
| 3     | `~/.xalgorix.env`                                              |
| 4     | プロセスに既に存在する環境変数                                 |

ローカル環境ファイルを作成します:```bash
nano ~/.xalgorix.env

### 🔌 プロバイダーの例

OpenAI:```bash
XALGORIX_LLM=openai/gpt-5.6
XALGORIX_API_KEY=sk-...

#### 🌉 LiteLLM / OpenAI 互換ゲートウェイ（GitHub Copilot、Claude Opus、Codex、OpenRouter、Azure、ローカルモデル）

`XALGORIX_API_BASE` は任意の OpenAI 互換 `/v1/chat/completions` エンドポイントを受け付けるため、
Xalgorix は [LiteLLM](https://docs.litellm.ai/) プロキシとそのまま動作します — Xalgorix 側の
変更は不要です。LiteLLM が上流プロバイダーの認証（Copilot デバイス
ログイン、Azure キー、OpenRouter、Ollama など）を処理し、Xalgorix はゲートウェイに対して
OpenAI として通信するだけです。

LiteLLM を実行します（`config.yaml` の例）:```yaml
model_list:
  - model_name: claude-opus-5
    litellm_params:
      model: github_copilot/claude-opus-5   # or openrouter/…, azure/…, ollama/…
general_settings:
  master_key: sk-local-litellm-key

同じパターンは、GitHub Copilot Business/CLI、Claude Opus、Codex スタイルのモデル、OpenRouter、Azure OpenAI、およびローカルの Ollama モデルなど、LiteLLM がルーティングできるあらゆるものに対応します。`custom/`（または `openai/`）プレフィックスと、Anthropic/Gemini 以外の `XALGORIX_API_BASE` を維持することで、Xalgorix は LiteLLM が期待する標準の OpenAI リクエスト形式を使用します。

### 🔔 オプションの統合```bash
GEMINI_API_KEY=AIza...
AGENTMAIL_POD=am_us_pod_47
AGENTMAIL_API_KEY=ak_...
XALGORIX_DISCORD_WEBHOOK=https://discord.com/api/webhooks/...
XALGORIX_DISCORD_MIN_SEVERITY=high

> [!TIP]
> 本番環境へのデプロイでは `XALGORIX_PASSWORD_HASH` を推奨します。

## 🆙 以前のバージョンからのアップグレード

このリリースでは、安定性とワークスペース分離のための調整が行われており、1つの破壊的変更といくつか知っておくべき新しい設定項目があります。

### 💥 破壊的変更: デフォルトのワークスペースが `~/.xalgorix/data/` に移動

スキャン出力、ノート、スケジュール、その他の生成された成果物は、`$CWD` (バイナリを起動したディレクトリ) ではなく `~/.xalgorix/data/` の下に配置されるようになりました。

以前の動作を維持するには、`XALGORIX_DATA_DIR` を現在の作業ディレクトリに指定してください:```bash
export XALGORIX_DATA_DIR=$(pwd)

開く:```text
http://127.0.0.1:9137

### 🌐 外部アクセス

ダッシュボード認証を有効にした後にのみ、別のインターフェースにバインドしてください:```bash
XALGORIX_USERNAME=admin XALGORIX_PASSWORD=change-this xalgorix --web --bind 0.0.0.0

カスタム命令を使用する場合:```bash
xalgorix --target https://app.example.com --instruction "Focus on SQL injection, IDOR, and auth bypass. Avoid destructive tests."

サービスを管理します:```bash
sudo xalgorix --restart
sudo xalgorix --stop
sudo xalgorix --uninstall

### 🌍 リモートサービスアクセス

ダッシュボード認証を有効にした後にのみ、サービスをリモートブラウザに公開してください：```bash
sudo tee -a /root/.xalgorix.env >/dev/null <<'EOF'
XALGORIX_BIND=0.0.0.0
XALGORIX_USERNAME=admin
XALGORIX_PASSWORD=change-this
EOF

sudo xalgorix --restart

ダッシュボード自身のリスナーは、これが有効になっていても**常に**保護されます。

> **⚠️ 共有 / マルチテナント / ホスト型デプロイメント: これはオフのままにしてください。** これを有効にすると、
> ユーザーのスキャンがオペレーター自身のマシンや内部ネットワークに到達できるようになります。
> デフォルトではオフなので、安全を保つために何もする必要はありません —
> `XALGORIX_ALLOW_LOCAL_TARGETS` を設定しないでください（または `XALGORIX_ALLOW_LOCAL_TARGETS=false` を固定してください）。
> また、エンジンの Settings ページを信頼できないユーザーに公開しないでください。

## 🔁 Web UI ワークフロー

1. `http://127.0.0.1:9137` でダッシュボードを開きます。
2. Settings に移動し、LLM プロバイダー、API キー、レート制限、およびオプションの統合を確認します。
3. New Scan からスキャンを作成します。
4. スキャンモードを選択します。
5. 集中的な実行を行いたい場合は、methodology フェーズを選択します。
6. 特定の重大度のみをリアルタイムで報告したい場合は、severity フィルターを設定します。このフィルターはリアルタイムダッシュボードのフィードと通知にのみ影響します。PDF レポートと `/api/findings` には、エージェントが発見したすべての脆弱性が常に含まれます。
7. ブランド化されたレポート用に会社名を追加し、ロゴをアップロードします。
8. Overview、Scan Detail、または Live Feed から進捗を監視します。
9. Scans と Reports から、検出結果の詳細を開いたり、レポートをダウンロードしたり、過去のスキャンを管理したりできます。

## 🔀 スキャンモード

| モード             | 最適な用途                                                                        |
| ---------------- | ------------------------------------------------------------------------------- |
| 🎯 単一ターゲット    | 既知の 1 つの URL またはホストをテストする。                                                  |
| 🌐 ワイルドカード / マルチ | 関連するターゲットを列挙し、発見された攻撃対象領域をスキャンする。         |
| 🧭 DAST             | Web アプリ、認証フロー、フォーム、ランタイム動作に対するブラウザ支援テスト。 |

## 📂 コードをスキャンする（ターゲット不要）

Xalgorix をコードベース（Git URL、ローカルパス、またはアップロードされた zip）に向けると、
ソースを直接スキャンします。デプロイされた URL も、立ち上げるインフラストラクチャも不要です。```bash
# Source review (SAST): audit the code, no running target required
xalgorix --source ./my-app --code-scan review

# Provision + DAST: build & run the app locally, then pentest the running instance
xalgorix --source https://github.com/org/app.git --code-scan provision

サーバーは履歴スキャンレコードをディスク上に保持するため、UI はリフレッシュや再起動後に復元できます。

## 🧪 開発

| タスク                        | コマンド                       |
| --------------------------- | ----------------------------- |
| 📦 Web UI の依存関係をインストール | `make webui-install`          |
| 🔨 すべてをビルド            | `make build`                  |
| ✅ テストを実行                   | `go test ./...`               |
| 🖥️ ソースから Web UI を実行      | `go run ./cmd/xalgorix --web` |
| ⚡ フロントエンド開発サーバーを実行     | `make webui-dev`              |

## 🚨 安全上の注意

- Xalgorix は許可されたターゲットに対してのみ使用してください。
- 許可なく第三者システムに対してアクティブテストを実行しないでください。
- 起動前にスキャン手順を確認してください。
- エンゲージメントルールに合わせてレート制限とプロキシ設定を構成してください。
- ダッシュボードを外部に公開するには認証が必要です。
- 自動インストールは非 root ユーザーではデフォルトで無効になっており、環境を信頼できる場合にのみ有効にしてください。

## 📜 ライセンス

Xalgorix は Apache License 2.0 の下でリリースされています。[LICENSE](https://github.com/xalgord/xalgorix/blob/main/LICENSE) を参照してください。

## 🔗 リンク

| リソース      | リンク                                                                             |
| ------------- | -------------------------------------------------------------------------------- |
| ☁️ ホスト版 (クラウド) | [www.xalgorix.com](https://www.xalgorix.com/)                                   |
| 📖 ドキュメント | [docs.xalgorix.com](https://docs.xalgorix.com)                                   |
| 🐛 イシュー        | [github.com/xalgorix/xalgorix/issues](https://github.com/xalgorix/xalgorix/issues) |
| ☕ サポート       | [buymeacoffee.com/xalgord](https://buymeacoffee.com/xalgord)                     |