Die erste öffentliche Version wurde veröffentlicht Vigolium v0.1.13-beta — eines Schwachstellenscanners für Webanwendungen, der klassisches deterministisches Scannen mit einem agentenbasierten Audit auf der Grundlage von LLM kombiniert. Das Projekt ist auf GitHub verfügbar und steht unter einer Lizenz GNU AGPLv3; der kommerzielle Teil wurde in die Cloud ausgelagert Cloud Console, während der Kern des Scanners als offen deklariert ist.
Vigolium bietet zwei Hauptbetriebsmodi: vigolium scan — normales mehrstufiges Scannen mit Inhaltsfindung, Spidering über den Browser, aktives und passives Audit; und vigolium agent — agentenbasierter Modus, in dem LLM Module auswählt, Angriffe plant, benutzerdefinierte JavaScript-Erweiterungen generiert und dynamisches Testen mit Quellcode-Audit kombiniert.
Laut aktueller Modulkatalog, Vigolium umfasst 251 Prüfmodule, davon 154 aktiv und 97 passiv. Aktive Module senden veränderte Anfragen und wenden Fuzzing, Injektionen und Verhaltensanalysen an, während passive die bereits bestehenden Anfrage/Antwort-Paare analysieren, ohne zusätzlichen Traffic zu generieren.
Funktionen
Native Scan — herkömmliches deterministisches Scannen.
Der Modus vigolium scan ist für schnelle und reproduzierbare Prüfungen konzipiert. Er besteht aus mehreren Phasen: externe Datensammlung, Inhaltsentdeckung, Browser/SPA-Spidering und Audit. Dieser Modus ist ideal für CI, regelmäßige Prüfungen und Situationen, in denen ein vorhersehbares Ergebnis ohne Beteiligung von LLM erzielt werden muss.Agentic Scan — agentenbasierte Prüfung mit LLM.
Der Modus vigolium agent nutzt die eingebaute Runtime olium. Der Agent kann selbstständig Endpunkte suchen, Module auswählen, Prüfungen durchführen, Code analysieren, SAST durchführen und die Ergebnisse erneut überprüfen. Es werden die Szenarien Autopilot, Swarm und Query-Modus unterstützt: vom autonomen Scannen des Ziels bis hin zu einmaligen Anfragen zur Codeüberprüfung, zur Suche nach Endpunkten und zur Entdeckung von Geheimnissen.Prüfungen auf XSS, SQLi, NoSQLi, SSTI, LFI, RCE, XXE und SSRF.
Im Modulkatalog sind Prüfungen auf reflektiertes XSS, SQL-Injektionen durch Fehler und boolean-based blind SQLi, NoSQL-Injektionen, server-seitige Template-Injektion, lokale Dateieinbeziehung, Command Injection, XXE, SSRF und out-of-band-Schwachstellen aufgelistet. Für die Funde wird eine Schweregradskala von critical bis info und eine Vertrauensskala von certain, firm, tentative verwendet.OAST-Prüfungen für 'blinde' Schwachstellen.
Vigolium kann blindes XSS, blindes SSRF, blindes XXE und blindes RCE über Callback-Mechanismen, einschließlich interactsh, überprüfen. Dies ist nötig, wenn die Schwachstelle nicht direkt in der HTTP-Antwort sichtbar ist, aber der Server eine externe DNS-/HTTP-Anfrage macht oder eine verzögerte Aktion ausführt.Wertbewusste Mutation – Mutation von Parametern unter Berücksichtigung der Bedeutung des Wertes.
Der Scanner klassifiziert Parameter nach semantischem Typ: Zahl, UUID, JWT, E-Mail und andere Varianten, woraufhin er Mutationen im Kontext anpasst. Dies sollte den Rausch im Vergleich zur groben Ersetzung identischer Payloads in allen Feldern verringern.Unterstützung verschiedener Eingabeformate.
Als Eingabe können URLs, OpenAPI-/Swagger-Spezifikationen, Postman-Kollektionen, Daten aus Burp Suite, cURL und Nuclei JSONL übergeben werden. Auch die Einspeisung von URLs über stdin und das Starten separater Scanphasen werden unterstützt.Authentifiziertes Scannen und Überprüfungen von IDOR/BOLA.
Vigolium unterstützt mehrere Sitzungen gleichzeitig: Sitzungen können inline übergeben, aus Dateien geladen oder vollständige Login-Flows mit Tokenextraktion beschrieben werden. Dies wird für Überprüfungen des horizontalen und vertikalen Zugriffs, einschließlich IDOR/BOLA und Privilegienerhöhungen, verwendet.Überprüfungen von Frameworks und typischen Leaks.
Die Modulliste enthält Überprüfungen für Next.js, Spring/Java, Django, Flask, FastAPI, Laravel, Symfony, Rails, Express und ASP.NET/IIS. Beispielsweise werden für Spring offene Actuator-Endpunkte, Spring Boot Admin, Spring Cloud Config, H2-Konsole, Jolokia und Konsolen von Java-Anwendungsservern überprüft; für Next.js werden Lecks über /_next/data, SSRF im Bildoptimierer und Umgehungen von Middleware untersucht.JavaScript-Erweiterungen.
Benutzer können eigene Module und Hooks in JavaScript über die integrierte JS-Engine mit einem HTTP-API, das Sitzungen berücksichtigt, schreiben. Eine wichtige Einschränkung: Solche Erweiterungen können beliebige Befehle ausführen und sind nicht durch eine Sandbox isoliert, daher sollten sie als regulärer ausführbarer Code betrachtet werden.Separate Triage-Phase für Ergebnisse.
Bei LLM-unterstützten Sicherheitstests tritt häufig das Problem von plausiblen, aber nicht reproduzierbaren Funden auf. Der Autor von Vigolium beschreibt die Triage als separaten Durchlauf: Zuerst sammelt der Scanner Kandidaten, dann überprüft eine separate Kontrolle jeden Fund erneut anhand von Beweisen.Budgetbeschränkungen für den Agentenmodus.
Für agentenbasiertes Scanning können Tokens, die Anzahl der Toolaufrufe, die Anzahl der Triage-Iterationen und die Gesamtlaufzeit begrenzt werden. Dies ist wichtig für CI und Penetrationstests mit festgelegter Zeit: der Agent sollte nicht endlos ein Ziel "graben" und das Budget für wenig nützliche Hypothesen verbrauchen.Berichte, Warteschlange und Skalierung.
Im Native Scan sind ein konkurrierender Worker-Pool, eine pro-Host-Ratenbegrenzung, eine hybride Warteschlange im Speicher, auf der Festplatte oder in Redis sowie eigenständige HTML-Berichte angegeben. Ausgaben werden via Konsole, JSONL und HTML unterstützt.Servermodus, API und Integration mit Burp Suite.
Vigolium kann als API-Server betrieben werden, Verkehr annehmen, einen transparenten HTTP-Proxy einrichten und automatisch die erhaltenen Daten scannen. Für Burp Suite wird eine separate Erweiterung burp-vigolium erwähnt, die es ermöglicht, Live-Verkehr an den Vigolium-Server zu senden.Werkbank und Konsole.
Neben der CLI beschreibt das Projekt Workbench — ein self-hosted Dashboard zur Visualisierung von Ergebnissen, Projektmanagement und Verfolgung von Funden. Konsole — eine Cloud-Kommerzielle Schicht für Managed Scanning, zentralisierte Berichterstattung, Zusammenarbeit und Planung von Prüfungen.
Installation
Das Projekt bietet Installationen über Shell-Skripte, npm, Docker, Homebrew, Bun und Build aus dem Quellcode an. Für den Build aus Quellcode sind in der README die Anforderungen angegeben: Go 1.26+ und bun 1.3.11+.
curl -fsSL https://vigolium.com/install.sh | bash
npm install -g @vigolium/vigolium
docker pull j3ssie/vigolium:latest
docker run —rm j3ssie/vigolium:latest scan -h
Die Entwickler warnen ausdrücklich, dass Vigolium ein Tool für offensive Sicherheit ist: Der agentenbasierte Modus wird ohne Sandbox ausgeführt und erhält vollen Zugriff auf die Shell, das Dateisystem und das Netzwerk des Hosts, während Erweiterungen auch beliebige Befehle ausführen können. Daher wird empfohlen, agentenbasierte Prüfungen in einem Einweg-Container oder einer virtuellen Maschine durchzuführen, die auf bestimmte Tests beschränkt ist.
Quelle: linux.org.ru
