Скачивается предварительно собранный бинарный файл для вашей платформы (Linux или macOS, amd64/arm64) из последнего релиза. Затем запустите интерактивный мастер настройки:```bash
xalgorix --setup

`--privileged` даёт набору инструментов тот же доступ к хосту, что и при нативном запуске от имени root. Стандартная песочница Docker отбрасывает возможности (например, `NET_ADMIN`) и применяет фильтр seccomp, что ломает низкоуровневые инструменты (изменения iptables/route, ARP-spoof/MITM, tun/tap VPN, отладчики на основе ptrace, настройка интерфейсов masscan). Поскольку образ не может сам предоставить себе эти возможности, их необходимо задать во время выполнения. Контейнер — это одноразовая, изолированная по сети песочница для сканирования, работающая от имени root — привилегированный режим является предполагаемой конфигурацией; никогда не выставляйте дашборд в публичный доступ без аутентификации. Предпочитаете минимальные привилегии? Замените `--privileged` на `--cap-add=NET_ADMIN --cap-add=NET_RAW --cap-add=SYS_PTRACE --security-opt seccomp=unconfined`.

Откройте `http://localhost:9137`. Вам **не нужен ключ LLM для запуска** — дашборд запускается без него; задайте модель + API-ключ в разделе **Settings → LLM** (он сохраняется в томе `/data`). Если вы не передадите `XALGORIX_USERNAME`/`XALGORIX_PASSWORD`, при первом запуске будет сгенерирован случайный пароль администратора и выведен в логи контейнера.

**Самый простой способ — Docker Compose** (пробрасывает порт + постоянный том за вас):```bash
curl -sSLO https://raw.githubusercontent.com/xalgorix/xalgorix/main/docker-compose.yml
docker compose up -d
docker compose logs -f   # shows the generated admin password on first start

> [!TIP]
> Предпочитаете нулевую настройку? Полностью управляемая версия работает на [www.xalgorix.com](https://www.xalgorix.com/) — сканирование в один клик, без установки и API-ключей.

### 🤖 Автоматический обзор pull request'ов — бесплатное приложение GitHub

Хотите проверку безопасности для каждого pull request'а без настройки? Установите **[Xalgorix GitHub App](https://github.com/apps/xalgorix)**. Оно читает diff каждого PR и оставляет комментарий с обзором безопасности — инъекции, сломанная аутентификация/IDOR, SSRF, секреты, небезопасные паттерны — прямо в pull request'е. Обновляется на месте при новых коммитах, и вы можете написать **`@xalgorix review`**, чтобы перезапустить по требованию. Без workflow-файла, без API-ключа, без аккаунта — и это бесплатно.

<div align="center">

[**➕ Добавить Xalgorix в GitHub →**](https://github.com/apps/xalgorix/installations/new)

</div>

Для блокировки слияний и полноценных пентестов с подтверждением эксплойтов в CI используйте [hosted scanner](https://www.xalgorix.com/) или GitHub Action.

> [!IMPORTANT]
> Используйте Xalgorix только на системах, которыми вы владеете или на тестирование которых у вас есть явное разрешение.

> [!TIP]
> Не хотите разворачивать самостоятельно? Полностью управляемая версия доступна на [www.xalgorix.com](https://www.xalgorix.com/) — сканирование в один клик, без установки и API-ключей.

## 📚 Содержание

| | | |
| --- | --- | --- |
| 📸 [Скриншоты](#-screenshots) | 🔩 [Конфигурация](#-configuration) | 🧾 [Переменные окружения](#-environment-variables) |
| 🚀 [Быстрый старт](#-quick-start) | 🆙 [Обновление](#-upgrading-from-previous-versions) | 🔤 [Префиксы провайдеров](#-provider-prefixes) |
| 🔎 [Обзор](#-overview) | 🏃 [Запуск](#-running) | 💻 [Справочник CLI](#-cli-reference) |
| 💡 [Почему Xalgorix](#-why-xalgorix) | 🧰 [Режим сервиса](#-service-mode) | 📡 [Сводка по API](#-api-summary) |
| 🎯 [Сценарии использования](#-use-cases) | 🔁 [Рабочий процесс Web UI](#-web-ui-workflow) | 💾 [Хранение данных](#-data-storage) |
| ✨ [Возможности](#-features) | 🔀 [Режимы сканирования](#-scan-modes) | 🧪 [Разработка](#-development) |
| 📥 [Установка](#-installation) | 📂 [Сканирование кода](#-scan-your-code-no-target-needed) | 🚨 [Замечания по безопасности](#-safety-notes) |
| 🧭 [Методология](#-methodology) | 📄 [Отчёты](#-reports) | 📜 [Лицензия](#-license) |
| 🔧 [Настройки](#-settings) | 🔗 [Ссылки](#-links) | 🤝 [Спонсоры](#-sponsors) |

## 🔎 Обзор

Xalgorix — это самостоятельно размещаемая платформа AI-пентестинга для авторизованного тестирования безопасности, оценки уязвимостей и рабочих процессов bug bounty. Она объединяет автономного агента на базе LLM, автоматизацию браузера, терминальные инструменты, комплексную 22-фазную методологию тестирования, телеметрию в реальном времени через WebSocket, управление находками с оценкой CVSS, генерацию брендированных PDF-отчётов и интеграции с AgentMail, Discord и Telegram.

В отличие от облачных DAST-сканеров, Xalgorix работает полностью на вашей машине. Вы используете собственного LLM-провайдера (OpenAI, Anthropic, DeepSeek, Gemini, Groq, Ollama, MiniMax) и контролируете модель, глубину рассуждений, лимиты запросов и конфигурацию прокси. Никакие данные сканирования, API-ключи или информация о целях не покидают вашу инфраструктуру.

По умолчанию используется Web UI. Из одной локальной панели управления вы можете запускать сканирования, отслеживать активные запуски, изучать находки, настраивать параметры модели/провайдера, управлять переменными окружения, генерировать брендированные PDF-отчёты, а также удалять или возобновлять прошлые сканирования.

## 💡 Почему Xalgorix

Большинство сканеров **обнаруживают**. Xalgorix **доказывает**. Автономный агент проходит 22-фазную методологию, после чего независимый верификатор повторно проверяет каждую потенциальную находку перед её отчётом — так вы получаете результаты с подтверждёнными эксплойтами и доказательствами, а не стену «возможно» для разбора.

- 🧠 **AI-агент, а не шаблонный движок** — рассуждает о потоках аутентификации, бизнес-логике, IDOR/BOLA и цепочках эксплойтов, которые пропускают сигнатурные сканеры.
- ✅ **Находки с подтверждёнными эксплойтами** — отдельный верификатор независимо воспроизводит каждую находку; неубедительные помечаются для проверки и никогда не выдаются за подтверждённые.
- 🔒 **Самостоятельное размещение и приватность** — работает на вашей машине с вашим собственным LLM-ключом; никакие данные о целях, ключи или находки не покидают вашу инфраструктуру.
- 🧩 **Свой собственный LLM** — OpenAI, Anthropic, DeepSeek, Gemini, Groq, Ollama или MiniMax — либо любой OpenAI-совместимый шлюз, например [LiteLLM](#-litellm--openai-compatible-gateways-github-copilot-claude-opus-codex-openrouter-azure-local-models) (GitHub Copilot, Codex, OpenRouter, Azure). Вы контролируете модель, глубину рассуждений и стоимость.
- 📄 **Отчёты, готовые к аудиту** — брендированные PDF-файлы с оценками CVSS, proof-of-concept и рекомендациями по устранению.

### 📊 Сравнение

|                                              | **Xalgorix**             | Шаблонные сканеры (например, Nuclei) | Сканеры с обходом (например, OWASP ZAP) | Коммерческие DAST        |
| -------------------------------------------- | ------------------------ | ------------------------------- | ---------------------------------- | ---------------------- |
| Подход                                       | Автономный AI-агент      | Сигнатуры / шаблоны             | Паук + активные правила            | Сигнатуры + эвристики  |
| Покрытие бизнес-логики / IDOR / обхода аутентификации | ✅                       | Ограниченное                    | Ограниченное                       | Частичное              |
| Подтверждение эксплойтов (доказывает воздействие) | ✅ независимый верификатор | ❌                              | ❌                                 | Частичное              |
| Уровень ложных срабатываний                  | Низкий (доказано)        | Зависит от шаблона              | Высокий                            | Средний                |
| Самостоятельное размещение / данные остаются локально | ✅                       | ✅                              | ✅                                 | Обычно облако          |
| Свой собственный LLM                         | ✅                       | —                               | —                                  | ❌                     |
| Брендированные PDF-отчёты                    | ✅                       | ❌                              | Базовые                            | ✅                     |
| Стоимость                                    | Открытый исходный код + ваш LLM | Бесплатно                       | Бесплатно                          | $$$                    |

> Ориентировочное сравнение — Nuclei и ZAP отлично справляются со своими задачами. Xalgorix добавляет поверх этого слой обнаружения, требующий глубоких рассуждений, и верификации эксплойтов.

### ☁️ Самостоятельное размещение vs облако

Xalgorix бесплатен и имеет открытый исходный код — размещайте его самостоятельно навсегда, без каких-либо условий. [Облако](https://www.xalgorix.com/) запускает **тот же** движок с подтверждением эксплойтов; оно существует для тех, кто предпочёл бы не управлять API-ключами, инфраструктурой и непредсказуемыми счетами за LLM. Оба варианта первоклассны — выбирайте подходящий.

|                                    | **Самостоятельное размещение** (этот репозиторий) | **[Облако](https://www.xalgorix.com/)**   |
| ---------------------------------- | ---------------------------------------- | ----------------------------------------------- |
| Цена для старта                    | Бесплатный движок, Apache-2.0            | Бесплатный аккаунт · разовая оценка за $1       |
| LLM API-ключ                       | Свой собственный, вы им управляете       | Включён — не нужно возиться                     |
| Стоимость за сканирование          | Сырые токены LLM — переменная, может взлететь | 1 кредит за живой хост — предсказуемо       |
| Установка и эксплуатация           | Вы устанавливаете, обновляете и запускаете инструментарий | Ничего запускать не нужно — сканирование за ~60 с |
| Out-of-band инфраструктура (SSRF/blind RCE) | Разворачиваете свой OOB-сервер    | Управляемый OOB включён                         |
| Планирование                       | Встроенный планировщик на вашей инфраструктуре | Управляемые расписания ежедневно / ежечасно |
| Команда · RBAC · общие кредиты     | Экземпляр для одного оператора           | Рабочие пространства организации на Team        |
| Обновления                         | `git pull` + пересборка                  | Всегда на последнем движке                      |
| Размещение данных / офлайн         | ✅ остаются на вашей инфраструктуре · air-gap OK | Работает на нашей инфраструктуре (доступно DPA) |

**Размещайте самостоятельно, если** данные должны оставаться в вашей сети, вы хотите полный контроль или будете работать офлайн/в изолированной среде — именно для этого это и предназначено. **Используйте облако, если** предпочитаете пропустить API-ключи, инфраструктуру и неожиданные счета за токены и платить только за живые хосты, которые вы действительно сканируете.

<div align="center">

[**☁️ Оценить облако — пробный период за $1 →**](https://www.xalgorix.com/pricing) &nbsp;·&nbsp; [**⚖️ Сравнить облако и самостоятельное размещение →**](https://www.xalgorix.com/hosted-vs-self-hosted)

</div>

Если Xalgorix сэкономил вам цикл разбора, пожалуйста, **[⭐ поставьте звезду репозиторию](https://github.com/xalgorix/xalgorix)** — это действительно помогает другим его найти.

## 🎯 Сценарии использования

| Сценарий | Как помогает Xalgorix |
| -------- | ------------------ |
| **Пентестинг** | Запустите полную 22-фазную методологию против авторизованных целей. AI-агент выполняет разведку, поиск уязвимостей, тестирование инъекций, SSRF, IDOR, обход аутентификации, состояния гонки и многое другое — а затем верифицирует находки перед отчётом. |
| **Bug bounty hunting** | Направьте Xalgorix на цель в рамках программы, и пусть агент перечислит поверхность атаки, протестирует распространённые классы уязвимостей и выявит подтверждённые находки с оценками CVSS и доказательствами proof-of-concept. |
| **Операции red team** | Используйте режимы сканирования wildcard и multi-target для картирования внешней поверхности атаки организации. Браузерный DAST обрабатывает потоки аутентификации, формы и поведение во время выполнения, которые пропускают статические сканеры. |
| **Исследование безопасности** | Фаза обнаружения новых уязвимостей выводит агента за пределы сопоставления известных шаблонов. Используйте собственный LLM (OpenAI, Anthropic, DeepSeek, Gemini, Ollama, MiniMax), чтобы контролировать глубину рассуждений и стоимость. |
| **Непрерывное тестирование безопасности** | Запускайте как системный сервис с помощью `xalgorix --start`. Сканируйте по расписанию, транслируйте находки в Discord или Telegram и генерируйте брендированные PDF-отчёты для заинтересованных сторон. |
| **Автоматизация DAST** | Браузерное тестирование веб-приложений — потоки аутентификации, формы, контент, отрендеренный JavaScript, и поведение во время выполнения. Интегрируется с Caido для инспекции прокси-трафика. |

## ✨ Возможности

| Область           | Возможности                                                                                                                |
| -------------- | --------------------------------------------------------------------------------------------------------------------------- |
| 📊 Панель управления      | Локальный Web UI по умолчанию на `127.0.0.1:9137`, управление сканированиями, статус в реальном времени, массовые действия со сканированиями и восстановление прошлых сканирований. |
| 🔍 Сканирование       | Одиночная цель, DAST, wildcard и multi-target потоки с выбираемыми фазами методологии.                                   |
| 📡 Телеметрия в реальном времени | Вызовы инструментов, сообщения агента, находки, ошибки, HTTP-активность и активность LLM через WebSocket.                              |
| 🐞 Находки       | Страницы деталей сканирования, фильтры по критичности, детали CVSS, индекс находок и рабочие процессы верифицированных находок.                           |
| 📄 Отчётность     | Брендированные PDF-отчёты с названием цели/компании, загруженным логотипом, списком отчётов, действиями открытия/скачивания/удаления.                     |
| 🔔 Интеграции   | Тестовые почтовые ящики AgentMail, письма верификации, потоки OTP, события разбора почты, уведомления Discord и Telegram.            |
| ⚙️ Конфигурация  | Настройки панели для LLM, AgentMail, Discord, Telegram, прокси, среды выполнения, браузера, аутентификации, лимитов запросов и ресурсов.       |
| 🛡️ Безопасность среды выполнения | Ограничения экземпляров с учётом ресурсов и привязка только к loopback, если внешний доступ явно не настроен с аутентификацией.         |

## 📥 Установка

Самые быстрые пути вообще не требуют инструментария.

### ⚡ Установка одной строкой (готовый бинарник)```bash
curl -sSL https://www.xalgorix.com/install | bash

Мастер сохраняет существующие настройки при повторном запуске, скрывает ввод API-ключа в терминале и по завершении опционально запускает веб-интерфейс.

### 🐳 Docker```bash
docker run --rm -p 9137:9137 \
  --privileged \
  -e XALGORIX_LLM=openai/gpt-5.6 \
  -e XALGORIX_API_KEY=your_openai_api_key \
  -v xalgorix-data:/data \
  ghcr.io/xalgord/xalgorix:latest

### 🔨 Сборка из исходного кода```bash
git clone https://github.com/xalgorix/xalgorix.git
cd xalgorix
make build
sudo install -m 755 build/xalgorix /usr/local/bin/xalgorix

## 🔩 Конфигурация

Xalgorix загружает конфигурацию в следующем порядке. Более поздние источники переопределяют более ранние.

| Порядок | Источник                                                       |
| ------- | -------------------------------------------------------------- |
| 1       | `/etc/xalgorix.env`                                            |
| 2       | `/home/<sudo-user>/.xalgorix.env` при запуске через `sudo`     |
| 3       | `~/.xalgorix.env`                                              |
| 4       | Переменные окружения, уже присутствующие в процессе            |

Создайте локальный файл окружения:```bash
nano ~/.xalgorix.env

### 🔌 Примеры провайдеров

OpenAI:```bash
XALGORIX_LLM=openai/gpt-5.6
XALGORIX_API_KEY=sk-...

#### 🌉 LiteLLM / OpenAI-совместимые шлюзы (GitHub Copilot, Claude Opus, Codex, OpenRouter, Azure, локальные модели)

Поскольку `XALGORIX_API_BASE` принимает любой OpenAI-совместимый эндпоинт `/v1/chat/completions`,
Xalgorix работает с прокси [LiteLLM](https://docs.litellm.ai/) из коробки — без
изменений на стороне Xalgorix. LiteLLM обрабатывает аутентификацию у вышестоящего провайдера (вход через устройство Copilot,
ключи Azure, OpenRouter, Ollama и т. д.); Xalgorix просто общается с шлюзом по протоколу OpenAI.

Запустите LiteLLM (пример `config.yaml`):```yaml
model_list:
  - model_name: claude-opus-5
    litellm_params:
      model: github_copilot/claude-opus-5   # or openrouter/…, azure/…, ollama/…
general_settings:
  master_key: sk-local-litellm-key

Тот же шаблон охватывает GitHub Copilot Business/CLI, Claude Opus, модели в стиле Codex,
OpenRouter, Azure OpenAI и локальные модели Ollama — всё, что LiteLLM может маршрутизировать. Сохраняйте
префикс `custom/` (или `openai/`) и не-Anthropic/Gemini `XALGORIX_API_BASE`, чтобы Xalgorix
использовал стандартную форму запроса OpenAI, которую ожидает LiteLLM.

### 🔔 Опциональные интеграции```bash
GEMINI_API_KEY=AIza...
AGENTMAIL_POD=am_us_pod_47
AGENTMAIL_API_KEY=ak_...
XALGORIX_DISCORD_WEBHOOK=https://discord.com/api/webhooks/...
XALGORIX_DISCORD_MIN_SEVERITY=high

> [!TIP]
> Для production-развёртываний предпочитайте `XALGORIX_PASSWORD_HASH`.

## 🆙 Обновление с предыдущих версий

Этот релиз включает проход по стабильности и изоляции рабочего пространства с одним критическим изменением и несколькими новыми настройками, о которых стоит знать.

### 💥 Критическое изменение: рабочее пространство по умолчанию перемещено в `~/.xalgorix/data/`

Результаты сканирования, заметки, расписания и другие сгенерированные артефакты теперь находятся в `~/.xalgorix/data/` вместо `$CWD` (каталога, из которого был запущен бинарный файл).

Чтобы сохранить прежнее поведение, укажите `XALGORIX_DATA_DIR` на ваш текущий рабочий каталог:```bash
export XALGORIX_DATA_DIR=$(pwd)

Открыть:```text
http://127.0.0.1:9137

### 🌐 Внешний доступ

Привязывайтесь к другому интерфейсу только после включения аутентификации в панели управления:```bash
XALGORIX_USERNAME=admin XALGORIX_PASSWORD=change-this xalgorix --web --bind 0.0.0.0

С пользовательскими инструкциями:```bash
xalgorix --target https://app.example.com --instruction "Focus on SQL injection, IDOR, and auth bypass. Avoid destructive tests."

Управление сервисом:```bash
sudo xalgorix --restart
sudo xalgorix --stop
sudo xalgorix --uninstall

### 🌍 Удалённый доступ к сервису

Открывайте доступ к сервису для удалённых браузеров только после включения аутентификации в дашборде:```bash
sudo tee -a /root/.xalgorix.env >/dev/null <<'EOF'
XALGORIX_BIND=0.0.0.0
XALGORIX_USERNAME=admin
XALGORIX_PASSWORD=change-this
EOF

sudo xalgorix --restart

Собственный слушатель дашборда **всегда** защищён, даже при включённой этой опции.

> **⚠️ Общие / мультитенантные / хостинговые развёртывания: оставьте эту опцию ВЫКЛЮЧЕННОЙ.** Её включение
> позволило бы сканированию пользователя достичь собственной машины оператора и внутренней сети.
> По умолчанию она выключена, поэтому для безопасности ничего делать не нужно — не устанавливайте
> `XALGORIX_ALLOW_LOCAL_TARGETS` (или закрепите `XALGORIX_ALLOW_LOCAL_TARGETS=false`),
> и не открывайте страницу Settings движка недоверенным пользователям.

## 🔁 Рабочий процесс веб-интерфейса

1. Откройте дашборд по адресу `http://127.0.0.1:9137`.
2. Перейдите в Settings и подтвердите LLM-провайдера, API-ключ, лимиты запросов и дополнительные интеграции.
3. Создайте сканирование через New Scan.
4. Выберите режим сканирования.
5. Выберите фазы методологии, когда нужен сфокусированный запуск.
6. Настройте фильтры по уровню критичности, когда в реальном времени должны отображаться только определённые уровни. Фильтр влияет только на ленту дашборда в реальном времени и уведомления; PDF-отчёт и `/api/findings` всегда включают все уязвимости, обнаруженные агентом.
7. Добавьте название компании и загрузите логотип для брендированных отчётов.
8. Отслеживайте прогресс через Overview, Scan Detail или Live Feed.
9. Открывайте детали находок, скачивайте отчёты или управляйте историей сканирований через Scans и Reports.

## 🔀 Режимы сканирования

| Режим             | Лучше всего подходит для                                                                        |
| ---------------- | ------------------------------------------------------------------------------- |
| 🎯 Одна цель    | Тестирование одного известного URL или хоста.                                                  |
| 🌐 Wildcard / multi | Перечисление связанных целей и сканирование обнаруженной поверхности атаки.         |
| 🧭 DAST             | Тестирование веб-приложений с помощью браузера: потоки аутентификации, формы и поведение во время выполнения. |

## 📂 Сканируйте свой код (цель не нужна)

Укажите Xalgorix на кодовую базу — Git URL, локальный путь или загруженный zip — и
он просканирует исходный код напрямую. Ни развёрнутого URL, ни инфраструктуры для поднятия.```bash
# Source review (SAST): audit the code, no running target required
xalgorix --source ./my-app --code-scan review

# Provision + DAST: build & run the app locally, then pentest the running instance
xalgorix --source https://github.com/org/app.git --code-scan provision

Сервер хранит исторические записи сканирований на диске, чтобы UI мог восстановиться после обновления или перезапуска.

## 🧪 Разработка

| Задача                        | Команда                       |
| --------------------------- | ----------------------------- |
| 📦 Установить зависимости Web UI | `make webui-install`          |
| 🔨 Собрать всё            | `make build`                  |
| ✅ Запустить тесты                   | `go test ./...`               |
| 🖥️ Запустить Web UI из исходников      | `go run ./cmd/xalgorix --web` |
| ⚡ Запустить dev-сервер фронтенда     | `make webui-dev`              |

## 🚨 Примечания по безопасности

- Используйте Xalgorix только против авторизованных целей.
- Не запускайте активное тестирование против сторонних систем без разрешения.
- Просмотрите инструкции сканирования перед запуском.
- Настройте ограничения скорости и параметры прокси в соответствии с правилами взаимодействия.
- Внешнее размещение панели управления требует аутентификации.
- Автоустановка отключена по умолчанию для пользователей без прав root и должна включаться только при доверии к окружению.

## 📜 Лицензия

Xalgorix выпускается под лицензией Apache License 2.0. См. [LICENSE](https://github.com/xalgord/xalgorix/blob/main/LICENSE).

## 🔗 Ссылки

| Ресурс      | Ссылка                                                                             |
| ------------- | -------------------------------------------------------------------------------- |
| ☁️ Хостинг (облако) | [www.xalgorix.com](https://www.xalgorix.com/)                                   |
| 📖 Документация | [docs.xalgorix.com](https://docs.xalgorix.com)                                   |
| 🐛 Проблемы        | [github.com/xalgorix/xalgorix/issues](https://github.com/xalgorix/xalgorix/issues) |
| ☕ Поддержка       | [buymeacoffee.com/xalgord](https://buymeacoffee.com/xalgord)                     |