Это загружает предварительно собранный бинарный файл для вашей платформы (Linux или macOS, amd64/arm64) из последнего релиза. Затем запустите интерактивный мастер настройки:```bash
xalgorix --setup

`--privileged` предоставляет инструментарию такой же доступ к хосту, как при запуске нативно от root. Песочница Docker по умолчанию отбрасывает capabilities (например, `NET_ADMIN`) и применяет seccomp-фильтр, что ломает низкоуровневые инструменты (iptables/изменение маршрутов, ARP-spoof/MITM, tun/tap VPN, отладчики на основе ptrace, настройку интерфейсов masscan). Поскольку образ не может сам себе выдать эти права, их нужно задавать во время запуска. Контейнер — это одноразовая, сетевая изолированная сканирующая песочница, работающая от root — privileged — это предполагаемый режим; никогда не открывайте панель управления публично без аутентификации. Предпочитаете наименьшие привилегии? Замените `--privileged` на `--cap-add=NET_ADMIN --cap-add=NET_RAW --cap-add=SYS_PTRACE --security-opt seccomp=unconfined`.

Откройте `http://localhost:9137`. Вам **не нужен ключ LLM для запуска** — панель управления запускается и без него; задайте модель и API-ключ в разделе **Settings → LLM** (они сохраняются в томе `/data`). Если вы не передадите `XALGORIX_USERNAME`/`XALGORIX_PASSWORD`, будет сгенерирован случайный пароль администратора и выведен в логи контейнера при первом запуске.

**Самый простой способ — Docker Compose** (сам сопоставляет порт и создаёт постоянный том):```bash
curl -sSLO https://raw.githubusercontent.com/xalgorix/xalgorix/main/docker-compose.yml
docker compose up -d
docker compose logs -f   # shows the generated admin password on first start

> [!TIP]
> Предпочитаете обойтись без настройки? Полностью управляемая версия работает на [www.xalgorix.com](https://www.xalgorix.com/) — клик и сканирование, без установки и API-ключей.

### 🤖 Автоматический ревью пул-реквестов — бесплатное GitHub-приложение

Нужен ревью безопасности на каждом пул-реквесте без настройки? Установите **[Xalgorix GitHub App](https://github.com/apps/xalgorix)**. Оно читает diff каждого PR и оставляет комментарий с ревью безопасности — инъекции, сломанная аутентификация/IDOR, SSRF, секреты, небезопасные паттерны — прямо в пул-реквесте. Обновляется на месте при новых коммитах, а вы можете написать **`@xalgorix review`**, чтобы запустить повторно по запросу. Без workflow-файла, без API-ключа, без аккаунта — и это бесплатно.

<div align="center">

[**➕ Добавить Xalgorix в GitHub →**](https://github.com/apps/xalgorix/installations/new)

</div>

Для контроля слияния и полных пентестов с подтверждёнными эксплойтами в CI используйте [хостируемый сканер](https://www.xalgorix.com/) или GitHub Action.

> [!IMPORTANT]
> Используйте Xalgorix только на системах, которыми вы владеете или на тестирование которых у вас есть явное разрешение.

> [!TIP]
> Не хотите разворачивать самостоятельно? Полностью управляемая версия доступна на [www.xalgorix.com](https://www.xalgorix.com/) — клик и сканирование, без установки и API-ключей.

## 📚 Содержание

| | | |
| --- | --- | --- |
| 📸 [Скриншоты](#-screenshots) | 🔩 [Конфигурация](#-configuration) | 🧾 [Переменные окружения](#-environment-variables) |
| 🚀 [Быстрый старт](#-quick-start) | 🆙 [Обновление](#-upgrading-from-previous-versions) | 🔤 [Префиксы провайдеров](#-provider-prefixes) |
| 🔎 [Обзор](#-overview) | 🏃 [Запуск](#-running) | 💻 [Справочник CLI](#-cli-reference) |
| 💡 [Почему Xalgorix](#-why-xalgorix) | 🧰 [Сервисный режим](#-service-mode) | 📡 [Сводка API](#-api-summary) |
| 🎯 [Варианты использования](#-use-cases) | 🔁 [Рабочий процесс Web UI](#-web-ui-workflow) | 💾 [Хранение данных](#-data-storage) |
| ✨ [Возможности](#-features) | 🔀 [Режимы сканирования](#-scan-modes) | 🧪 [Разработка](#-development) |
| 📥 [Установка](#-installation) | 📂 [Сканируйте свой код](#-scan-your-code-no-target-needed) | 🚨 [Примечания по безопасности](#-safety-notes) |
| 🧭 [Методология](#-methodology) | 📄 [Отчёты](#-reports) | 📜 [Лицензия](#-license) |
| 🔧 [Настройки](#-settings) | 🔗 [Ссылки](#-links) | |

## 🔎 Обзор

Xalgorix — это самохостинговая платформа ИИ-пентестинга для авторизованного тестирования безопасности, оценки уязвимостей и рабочих процессов bug bounty. Она объединяет автономного агента на основе LLM, автоматизацию браузера, терминальные инструменты, комплексную методологию тестирования из 22 фаз, живую телеметрию через WebSocket, управление находками с оценкой CVSS, генерацию фирменных PDF-отчётов и интеграции с AgentMail, Discord и Telegram.

В отличие от облачных DAST-сканеров, Xalgorix полностью работает на вашей машине. Вы подключаете собственного LLM-провайдера (OpenAI, Anthropic, DeepSeek, Gemini, Groq, Ollama, MiniMax) и контролируете модель, усилия рассуждения, лимиты скорости и конфигурацию прокси. Никакие данные сканирования, API-ключи или информация о целях не покидают вашу инфраструктуру.

Основной интерфейс — Web UI. С единой локальной панели вы можете запускать сканирования, отслеживать активные запуски, просматривать находки, настраивать параметры модели/провайдера, управлять переменными окружения, генерировать фирменные PDF-отчёты и удалять или возобновлять исторические сканирования.

## 💡 Почему Xalgorix

Большинство сканеров **обнаруживают**. Xalgorix **доказывает**. Автономный агент проходит методологию из 22 фаз, а затем независимый верификатор повторно тестирует каждую кандидатную находку перед тем, как она будет зарегистрирована — поэтому вы получаете результаты, подтверждённые эксплойтом, с доказательствами, а не стену «возможно» для триажа.

- 🧠 **ИИ-агент, а не шаблонный движок** — рассуждает о потоках аутентификации, бизнес-логике, IDOR/BOLA и цепочках эксплойтов, которые пропускают сигнатурные сканеры.
- ✅ **Находки, подтверждённые эксплойтом** — отдельный верификатор независимо воспроизводит каждую находку; неубедительные помечаются для проверки и никогда не выдаются за подтверждённые.
- 🔒 **Самохостинг и приватность** — работает на вашей машине с вашим LLM-ключом; никакие данные о целях, ключи или находки не покидают вашу инфраструктуру.
- 🧩 **Свой LLM** — OpenAI, Anthropic, DeepSeek, Gemini, Groq, Ollama или MiniMax — или любой OpenAI-совместимый шлюз, например [LiteLLM](#-litellm--openai-compatible-gateways-github-copilot-claude-opus-codex-openrouter-azure-local-models) (GitHub Copilot, Codex, OpenRouter, Azure). Вы контролируете модель, усилия рассуждения и стоимость.
- 📄 **Отчёты, готовые к аудиту** — фирменные PDF с оценками CVSS, proof-of-concept и рекомендациями по устранению.

### 📊 Сравнение

|                                              | **Xalgorix**             | Шаблонные сканеры (напр. Nuclei) | Краулинговые сканеры (напр. OWASP ZAP) | Коммерческий DAST        |
| -------------------------------------------- | ------------------------ | ------------------------------- | ---------------------------------- | ---------------------- |
| Подход                                       | Автономный ИИ-агент      | Сигнатуры / шаблоны             | Паук + активные правила           | Сигнатуры + эвристики |
| Покрытие бизнес-логики / IDOR / обхода аутентификации | ✅                       | Ограниченное                    | Ограниченное                       | Частичное              |
| Подтверждение эксплойтом (доказывает воздействие) | ✅ независимый верификатор | ❌                              | ❌                                 | Частичное              |
| Нагрузка ложных срабатываний                  | Низкая (подтверждённая)   | Зависит от шаблонов             | Высокая                            | Средняя                |
| Самохостинг / данные остаются локальными      | ✅                       | ✅                              | ✅                                 | Обычно облако          |
| Свой LLM                                     | ✅                       | —                               | —                                  | ❌                     |
| Фирменные PDF-отчёты                          | ✅                       | ❌                              | Базовые                            | ✅                     |
| Стоимость                                    | Open source + ваш LLM    | Бесплатно                       | Бесплатно                          | $$$                    |

> Ориентировочное сравнение — Nuclei и ZAP отлично справляются со своими задачами. Xalgorix добавляет поверх слой обнаружения, требующий рассуждений, и верификацию эксплойтов.

### ☁️ Самохостинг vs Хостируемое облако

Xalgorix бесплатен и имеет открытый исходный код — разворачивайте его самостоятельно сколько угодно, без каких-либо обязательств. [Хостируемое облако](https://www.xalgorix.com/) работает на **том же** движке с подтверждением эксплойтов; оно существует для тех, кто предпочитает не управлять API-ключами, инфраструктурой и непредсказуемыми счетами за LLM. Оба варианта полноценны — выбирайте, что подходит.

|                                    | **Самохостинг** (этот репозиторий)        | **[Хостируемое облако](https://www.xalgorix.com/)**   |
| ---------------------------------- | ---------------------------------------- | ----------------------------------------------- |
| Цена старта                        | Бесплатно, Apache-2.0                    | Бесплатный тариф · один полный скан от $1       |
| LLM API-ключ                       | Свой — приносите и управляйте            | Включён — не нужно возиться                     |
| Стоимость за скан                  | Сырые LLM-токены — переменная, может скакать | 1 кредит за живой хост — предсказуемо          |
| Настройка и эксплуатация           | Вы устанавливаете, обновляете и запускаете инструментарий | Нечего запускать — скан за ~60 секунд          |
| Внеполосная инфраструктура (SSRF/слепой RCE) | Поднимайте свой OOB-сервер             | Управляемый OOB включён                         |
| Планирование · команда · RBAC      | Делайте сами                            | Встроено                                         |
| Обновления                         | `git pull` + пересборка                  | Всегда на последней версии движка               |
| Размещение данных / офлайн         | ✅ остаётся на вашей инфраструктуре · air-gap OK | Работает на нашей инфраструктуре (доступен DPA) |

**Выбирайте самохостинг**, если данные должны оставаться в вашей сети, вам нужен полный контроль или вы будете работать офлайн/в изолированной среде — именно для этого он и создан. **Используйте облако**, если хотите пропустить API-ключи, инфраструктуру и неожиданные счета за токены и платить только за живые хосты, которые реально сканируете.

<div align="center">

[**☁️ Попробуйте хостируемое облако — бесплатно →**](https://www.xalgorix.com/) &nbsp;·&nbsp; [**⚖️ Сравните реальную стоимость (калькулятор) →**](https://www.xalgorix.com/hosted-vs-self-hosted)

</div>

Если Xalgorix экономит вам цикл триажа, пожалуйста, **[⭐ поставьте звезду репозиторию](https://github.com/xalgorix/xalgorix)** — это действительно помогает другим найти его.

## 🎯 Варианты использования

| Вариант использования | Как помогает Xalgorix |
| -------- | ------------------ |
| **Пентестинг** | Запускает полную методологию из 22 фаз против авторизованных целей. ИИ-агент выполняет разведку, обнаружение уязвимостей, тестирование инъекций, SSRF, IDOR, обход аутентификации, гонки и многое другое — затем проверяет находки перед отчётом. |
| **Охота за багами (bug bounty)** | Направьте Xalgorix на цель, входящую в scope, и агент перечислит поверхность атаки, протестирует распространённые классы уязвимостей и выведет подтверждённые находки с оценками CVSS и доказательствами proof-of-concept. |
| **Операции red team** | Используйте режимы сканирования с wildcard и несколькими целями, чтобы составить карту внешней поверхности атаки организации. Браузерный DAST обрабатывает потоки аутентификации, формы и поведение во время выполнения, которые пропускают статические сканеры. |
| **Исследования в области безопасности** | Фаза обнаружения новых уязвимостей выводит агента за пределы известного сопоставления шаблонов. Подключайте свой LLM (OpenAI, Anthropic, DeepSeek, Gemini, Ollama, MiniMax), чтобы контролировать глубину рассуждений и стоимость. |
| **Непрерывное тестирование безопасности** | Запускайте как системный сервис с `xalgorix --start`. Сканируйте по расписанию, передавайте находки в Discord или Telegram и генерируйте фирменные PDF-отчёты для заинтересованных сторон. |
| **Автоматизация DAST** | Тестирование веб-приложений через браузер — потоки аутентификации, формы, контент, отрисованный JavaScript, и поведение во время выполнения. Интеграция с Caido для инспекции прокси-трафика. |

## ✨ Возможности

| Область           | Возможности                                                                                                                |
| -------------- | --------------------------------------------------------------------------------------------------------------------------- |
| 📊 Панель управления | Локальный Web UI на `127.0.0.1:9137` по умолчанию, управление сканированиями, живой статус, массовые действия со сканированиями и восстановление исторических сканирований. |
| 🔍 Сканирование       | Потоки с одной целью, DAST, wildcard и несколькими целями с выбираемыми фазами методологии.                                   |
| 📡 Живая телеметрия | Вызовы инструментов, сообщения агента, находки, ошибки, HTTP-активность и активность LLM через WebSocket.                              |
| 🐞 Находки       | Страницы деталей сканирования, фильтры по серьёзности, детали CVSS, индекс находок и рабочие процессы подтверждённых находок.                           |
| 📄 Отчётность      | Фирменные PDF-отчёты с именем цели/компании, загруженным логотипом, список отчётов, действия открыть/скачать/удалить.                     |
| 🔔 Интеграции   | Тестовые почтовые ящики AgentMail, письма верификации, OTP-потоки, события триажа почты, уведомления Discord и Telegram.            |
| ⚙️ Конфигурация  | Настройки панели для LLM, AgentMail, Discord, Telegram, прокси, среды выполнения, браузера, аутентификации, лимитов скорости и ресурсов.       |
| 🛡️ Безопасность среды выполнения | Ограничения экземпляров с учётом ресурсов и привязка только к loopback, если внешний доступ не настроен явно с аутентификацией.         |

## 📥 Установка

Самые быстрые пути вообще не требуют инструментария.

### ⚡ Установка одной строкой (собранный бинарник)```bash
curl -sSL https://www.xalgorix.com/install | bash

Мастер сохраняет существующие настройки при повторном запуске, скрывает ввод API-ключа в терминале и при желании запускает веб-интерфейс по завершении.

### 🐳 Docker```bash
docker run --rm -p 9137:9137 \
  --privileged \
  -e XALGORIX_LLM=openai/gpt-5.6 \
  -e XALGORIX_API_KEY=your_openai_api_key \
  -v xalgorix-data:/data \
  ghcr.io/xalgord/xalgorix:latest

### 🔨 Сборка из исходного кода```bash
git clone https://github.com/xalgorix/xalgorix.git
cd xalgorix
make build
sudo install -m 755 build/xalgorix /usr/local/bin/xalgorix

## 🔩 Конфигурация

Xalgorix загружает конфигурацию в следующем порядке. Более поздние источники переопределяют более ранние.

| Порядок | Источник                                                        |
| ------- | --------------------------------------------------------------- |
| 1       | `/etc/xalgorix.env`                                             |
| 2       | `/home/<sudo-user>/.xalgorix.env` при запуске через `sudo`      |
| 3       | `~/.xalgorix.env`                                               |
| 4       | Переменные окружения, уже присутствующие в процессе             |

Создайте локальный файл окружения:```bash
nano ~/.xalgorix.env

### 🔌 Примеры провайдеров

OpenAI:```bash
XALGORIX_LLM=openai/gpt-5.6
XALGORIX_API_KEY=sk-...

#### 🌉 LiteLLM / OpenAI-совместимые шлюзы (GitHub Copilot, Claude Opus, Codex, OpenRouter, Azure, локальные модели)

Поскольку `XALGORIX_API_BASE` принимает любую OpenAI-совместимую конечную точку `/v1/chat/completions`,
Xalgorix работает с прокси [LiteLLM](https://docs.litellm.ai/) из коробки — без
каких-либо изменений на стороне Xalgorix. LiteLLM обрабатывает аутентификацию вышестоящего провайдера (device
login Copilot, ключи Azure, OpenRouter, Ollama и т. д.); Xalgorix просто общается с шлюзом по протоколу OpenAI.

Запустите LiteLLM (пример `config.yaml`):```yaml
model_list:
  - model_name: claude-opus-5
    litellm_params:
      model: github_copilot/claude-opus-5   # or openrouter/…, azure/…, ollama/…
general_settings:
  master_key: sk-local-litellm-key

Тот же шаблон охватывает GitHub Copilot Business/CLI, Claude Opus, модели в стиле Codex,
OpenRouter, Azure OpenAI и локальные модели Ollama — всё, что LiteLLM может маршрутизировать. Сохраняйте
префикс `custom/` (или `openai/`) и не-Anthropic/Gemini `XALGORIX_API_BASE`, чтобы Xalgorix
использовал стандартную форму запроса OpenAI, которую ожидает LiteLLM.

### 🔔 Необязательные интеграции```bash
GEMINI_API_KEY=AIza...
AGENTMAIL_POD=am_us_pod_47
AGENTMAIL_API_KEY=ak_...
XALGORIX_DISCORD_WEBHOOK=https://discord.com/api/webhooks/...
XALGORIX_DISCORD_MIN_SEVERITY=high

> [!TIP]
> Для продакшн-развертываний предпочтительно использовать `XALGORIX_PASSWORD_HASH`.

## 🆙 Обновление с предыдущих версий

Этот релиз включает улучшение стабильности и изоляции рабочих пространств с одним критическим изменением и несколькими новыми параметрами, о которых стоит знать.

### 💥 Критическое изменение: рабочее пространство по умолчанию перемещено в `~/.xalgorix/data/`

Результаты сканирования, заметки, расписания и другие создаваемые артефакты теперь хранятся в `~/.xalgorix/data/` вместо `$CWD` (каталога, из которого был запущен бинарный файл).

Чтобы сохранить прежнее поведение, укажите `XALGORIX_DATA_DIR` на ваш текущий рабочий каталог:```bash
export XALGORIX_DATA_DIR=$(pwd)

Откройте:```text
http://127.0.0.1:9137

### 🌐 Внешний доступ

Привязывайтесь к другому интерфейсу только после включения аутентификации панели управления:```bash
XALGORIX_USERNAME=admin XALGORIX_PASSWORD=change-this xalgorix --web --bind 0.0.0.0

С пользовательскими инструкциями:```bash
xalgorix --target https://app.example.com --instruction "Focus on SQL injection, IDOR, and auth bypass. Avoid destructive tests."

Управляйте службой:```bash
sudo xalgorix --restart
sudo xalgorix --stop
sudo xalgorix --uninstall

### 🌍 Удалённый доступ к сервису

Открывайте доступ к сервису для удалённых браузеров только после включения аутентификации в панели управления:```bash
sudo tee -a /root/.xalgorix.env >/dev/null <<'EOF'
XALGORIX_BIND=0.0.0.0
XALGORIX_USERNAME=admin
XALGORIX_PASSWORD=change-this
EOF

sudo xalgorix --restart

Панель управления имеет собственный прослушиватель, который **всегда** защищён, даже если эта опция включена.

> **⚠️ Общие / мультитенантные / хостинговые развёртывания: держите эту опцию ВЫКЛЮЧЕННОЙ.** Её включение
> позволит скану пользователя достичь собственной машины оператора и внутренней сети.
> По умолчанию она выключена, поэтому для безопасности не требуется никаких действий — не задавайте
> `XALGORIX_ALLOW_LOCAL_TARGETS` (или зафиксируйте `XALGORIX_ALLOW_LOCAL_TARGETS=false`),
> и не открывайте страницу настроек движка недоверенным пользователям.

## 🔁 Рабочий процесс веб-интерфейса

1. Откройте панель управления по адресу `http://127.0.0.1:9137`.
2. Перейдите в «Настройки» и подтвердите LLM-провайдера, API-ключ, лимиты запросов и дополнительные интеграции.
3. Создайте сканирование через «Новое сканирование».
4. Выберите режим сканирования.
5. Выберите этапы методологии, если нужен целенаправленный запуск.
6. Задайте фильтры по критичности, если в реальном времени должны сообщаться только определённые уровни серьёзности. Фильтр влияет только на ленту панели управления в реальном времени и уведомления; PDF-отчёт и `/api/findings` всегда включают все уязвимости, обнаруженные агентом.
7. Добавьте название компании и загрузите логотип для фирменных отчётов.
8. Отслеживайте прогресс в разделах «Обзор», «Детали сканирования» или «Живая лента».
9. Открывайте детали уязвимостей, скачивайте отчёты или управляйте историческими сканированиями в разделах «Сканирования» и «Отчёты».

## 🔀 Режимы сканирования

| Режим             | Для чего лучше всего                                                                        |
| ---------------- | ------------------------------------------------------------------------------- |
| 🎯 Одиночная цель    | Тестирование одного известного URL или хоста.                                                  |
| 🌐 Подстановочный / множественный | Перечисление связанных целей и сканирование обнаруженной поверхности атаки.         |
| 🧭 DAST             | Тестирование с помощью браузера для веб-приложений, потоков аутентификации, форм и поведения в рантайме. |

## 📂 Сканирование вашего кода (цель не требуется)

Укажите Xalgorix на кодовую базу — Git-URL, локальный путь или загруженный zip-архив — и
он просканирует исходный код напрямую. Никакого развёрнутого URL, никакой инфраструктуры для запуска.```bash
# Source review (SAST): audit the code, no running target required
xalgorix --source ./my-app --code-scan review

# Provision + DAST: build & run the app locally, then pentest the running instance
xalgorix --source https://github.com/org/app.git --code-scan provision

Сервер хранит исторические записи сканирования на диске, чтобы интерфейс мог восстановиться после обновления страницы или перезапуска.

## 🧪 Разработка

| Задача                        | Команда                       |
| --------------------------- | ----------------------------- |
| 📦 Установка зависимостей Web UI | `make webui-install`          |
| 🔨 Сборка всего            | `make build`                  |
| ✅ Запуск тестов                   | `go test ./...`               |
| 🖥️ Запуск Web UI из исходников      | `go run ./cmd/xalgorix --web` |
| ⚡ Запуск dev-сервера фронтенда     | `make webui-dev`              |

## 🚨 Примечания по безопасности

- Используйте Xalgorix только против авторизованных целей.
- Не проводите активное тестирование сторонних систем без разрешения.
- Изучайте инструкции по сканированию перед запуском.
- Настраивайте ограничения скорости и параметры прокси в соответствии с правилами взаимодействия.
- Открытие панели управления для внешнего доступа требует аутентификации.
- Автоустановка отключена по умолчанию для пользователей без прав root и должна включаться только при доверии к окружению.

## 📜 Лицензия

Xalgorix выпущен под лицензией Apache License 2.0. См. [LICENSE](https://github.com/xalgord/xalgorix/blob/main/LICENSE).

## 🔗 Ссылки

| Ресурс      | Ссылка                                                                             |
| ------------- | -------------------------------------------------------------------------------- |
| ☁️ Хостинг (облако) | [www.xalgorix.com](https://www.xalgorix.com/)                                   |
| 📖 Документация | [docs.xalgorix.com](https://docs.xalgorix.com)                                   |
| 🐛 Проблемы        | [github.com/xalgorix/xalgorix/issues](https://github.com/xalgorix/xalgorix/issues) |
| ☕ Поддержка       | [buymeacoffee.com/xalgord](https://buymeacoffee.com/xalgord)                     |