Xalgorix es una plataforma de pruebas de penetración con IA de código abierto y autoalojada que utiliza un agente LLM autónomo junto con un verificador de exploits independiente para ofrecer hallazgos de vulnerabilidades probados, y no solo sospechados.

La mayoría de los escáneres de vulnerabilidades marcan problemas potenciales y dejan que los equipos de seguridad separen las amenazas reales de los falsos positivos, pero Xalgorix adopta un enfoque diferente al tener una capa de verificación separada que vuelve a explotar cada hallazgo candidato antes de que aparezca en un informe.

Este modelo de "detectar y luego probar" significa que los hallazgos llegan con evidencia de prueba de concepto funcional, en lugar de una lista de espera de "quizás" para triaje. La plataforma razona a través de flujos de autenticación, fallos de lógica de negocio, problemas de IDOR/BOLA y exploits encadenados que los escáneres tradicionales basados en firmas, como Nuclei o OWASP ZAP, suelen pasar por alto.

La Metodología de Pruebas de 22 Fases

En el núcleo de Xalgorix se encuentra una metodología exhaustiva de 22 fases que refleja cómo trabajaría un pentester humano experto en un proyecto, moviéndose desde el reconocimiento hasta el informe final. Tú y tu equipo de seguridad podéis ejecutar el barrido completo o seleccionar solo las fases relevantes para el alcance de un proyecto específico.

La Fase 20, dedicada a la verificación de exploits, es lo que separa los hallazgos confirmados del informe; cualquier cosa que el verificador no pueda reproducir de forma independiente se marca para revisión manual en lugar de presentarse como confirmada.

Construido en Go y TypeScript, Xalgorix se distribuye como un binario autónomo o una imagen de Docker agrupada con un amplio conjunto de herramientas de seguridad ofensiva, que incluye nmap, nuclei, httpx, subfinder, katana, ffuf, gobuster, sqlmap y masscan.

Soporta un modelo de "trae tu propio LLM", permitiéndote conectar OpenAI, Anthropic, DeepSeek, Gemini, Groq, Ollama o MiniMax para que ningún dato de escaneo, claves API o información del objetivo salga nunca de tu propia infraestructura.

Un panel de interfaz web local en el puerto 9137 proporciona telemetría de WebSocket en vivo de las llamadas a herramientas, el razonamiento del agente y los hallazgos a medida que avanza un escaneo.

Más allá de las pruebas de penetración tradicionales de aplicaciones web, Xalgorix soporta escaneos de comodín y de múltiples objetivos para el mapeo de la superficie de ataque de equipos rojos (red team), además de un modo de escaneo de código fuente que audita repositorios directamente sin necesidad de un objetivo desplegado.

Su modo de "aprovisionamiento" va más allá al construir y ejecutar una aplicación localmente antes de realizar las pruebas de penetración en la instancia en vivo, ofreciendo resultados verificados de exploits incluso para código que aún no ha sido desplegado.

Los hallazgos se compilan en informes PDF personalizados con puntuación CVSS, evidencia de prueba de concepto y guías de remediación, con integraciones opcionales para Discord, Telegram y AgentMail para flujos de trabajo de monitoreo continuo.

El proyecto es totalmente de código abierto y está disponible en GitHub, captando la atención de la comunidad de seguridad tras demostraciones y una mención en Hacker News que destacó su enfoque prioritario en la verificación.

Se une a un campo creciente de agentes de pentesting impulsados por IA, aunque su énfasis en la verificación independiente de exploits y su operación totalmente privada y autoalojada lo posicionan distintivamente frente a los escáneres de código abierto y las plataformas DAST comerciales.