Pubblicata la prima versione open source Vigolium v0.1.13-beta — di uno scanner di vulnerabilità per applicazioni web, che combina la scansione deterministica classica con un audit agent-based basato su LLM. Il progetto è disponibile su GitHub e distribuito sotto licenza GNU AGPLv3; la parte commerciale è stata spostata nel cloud Cloud Console, mentre il nucleo dello scanner è dichiarato come open source.
Vigolium offre due modalità principali di funzionamento: vigolium scan — scansione multi-fase regolare con ricerca di contenuti, spidering tramite browser, audit attivo e passivo; e vigolium agent — modalità agent dove LLM seleziona i moduli, pianifica attacchi, genera estensioni JavaScript personalizzate e integra testing dinamico con auditing del codice sorgente.
Secondo i dati del attuale manuale dei moduli, Vigolium include 251 moduli di verifica, di cui 154 attivi e 97 passivi. I moduli attivi inviano richieste modificate e applicano fuzzing, iniezioni e analisi comportamentale, mentre i passivi analizzano già esistenti coppie richiesta/risposta senza generare traffico aggiuntivo.
Funzionalità
Native Scan — scansione deterministica standard.
La modalità vigolium scan è progettata per controlli rapidi e riproducibili. Attraversa diverse fasi: raccolta dati esterna, rilevamento contenuti, browser/SPAspidering e audit. Questa modalità è comoda per CI, controlli regolari e casi in cui è importante ottenere un risultato prevedibile senza coinvolgere LLM.Agentic Scan — audit agent con LLM.
La modalità vigolium agent utilizza un runtime integrato olium. L'agente può cercare autonomamente endpoints, selezionare moduli, eseguire controlli, analizzare codice, effettuare SAST e riesaminare le scoperte. Sono supportati gli scenari Autopilot, Swarm e Query mode: dallo scanning autonomo dell'obiettivo a richieste singole per revisione del codice, ricerca di endpoints e scoperta di segreti.Verifiche XSS, SQLi, NoSQLi, SSTI, LFI, RCE, XXE e SSRF.
Nel manuale dei moduli sono elencate le verifiche di XSS riflesso, iniezioni SQL per errori e boolean-based blind SQLi, iniezioni NoSQL, server-side template injection, local file inclusion, command injection, XXE, SSRF e vulnerabilità out-of-band. Per le scoperte viene utilizzata una scala di gravità da critica a informativa e una scala di certezza certain, firm, tentative.Verifiche OAST per vulnerabilità ‘blind’.
Vigolium è in grado di controllare il blind XSS, blind SSRF, blind XXE e blind RCE tramite meccanismi di callback, inclusi quelli di interactsh. Questo è necessario nei casi in cui la vulnerabilità non si manifesta direttamente nella risposta HTTP, ma il server effettua una richiesta DNS/HTTP esterna o esegue un'azione posticipata.Mutation consapevole del valore — mutazione dei parametri tenendo conto del significato del valore.
Lo scanner classifica i parametri per tipo semantico: numero, UUID, JWT, email e altre varianti, dopodiché seleziona mutazioni in base al contesto. Questo dovrebbe ridurre il rumore rispetto alla sostituzione grossolana di payload identici in tutti i campi.Supporto per diversi formati di input.
Come input è possibile trasmettere URL, specifiche OpenAPI/Swagger, collezioni Postman, dati da Burp Suite, cURL e Nuclei JSONL. È supportata anche l'immissione di URL tramite stdin e l'esecuzione di fasi di scansione separate.Scansione autenticata e controlli IDOR/BOLA.
Vigolium supporta più sessioni simultaneamente: le sessioni possono essere trasmesse inline, caricate da file oppure descritte come flussi di login completi con estrazione dei token. Questo è utilizzato per verifiche di controllo accessi orizzontali e verticali, inclusi IDOR/BOLA e escalation dei privilegi.Controlli per framework e tipiche perdite.
Nell'elenco dei moduli ci sono controlli per Next.js, Spring/Java, Django, Flask, FastAPI, Laravel, Symfony, Rails, Express e ASP.NET/IIS. Ad esempio, per Spring si controllano gli endpoint Actuator aperti, Spring Boot Admin, Spring Cloud Config, H2 Console, Jolokia e le console dei server di applicazioni Java; per Next.js — perdite tramite /_next/data, SSRF in Image Optimizer e bypass dei middleware.Estensioni JavaScript.
L'utente può scrivere i propri moduli e hooks in JavaScript tramite il motore JS integrato con API HTTP, tenendo conto delle sessioni. Limitazione importante: tali estensioni possono eseguire comandi arbitrari e non sono isolate in un sandbox, quindi devono essere considerate come codice eseguibile normale.Fase separata di triage per i risultati.
Nel testing della sicurezza assistito da LLM emerge spesso il problema di scoperte plausibili ma non riproducibili. L'autore di Vigolium descrive il triage come un passaggio separato: prima lo scanner raccoglie i candidati, poi un controllo separato riesamina ogni scoperta con le prove.Limitazioni di budget per la modalità agent.
Per la scansione agenziale è possibile limitare i token, il numero di chiamate agli strumenti, il numero di iterazioni di triage e il tempo totale di esecuzione. Questo è importante per CI e per i pentest con tempo fisso: l'agente non deve "scavare" all'infinito su un obiettivo e bruciare il budget su ipotesi poco utili.Report, coda e scalabilità.
In Native Scan sono stati dichiarati un worker pool competitivo, limitazione della velocità per host, una coda ibrida in memoria, su disco o in Redis, così come report HTML autonomi. Per l'output sono disponibili console, JSONL e HTML.Modalità server, API e integrazione con Burp Suite.
Vigolium può essere avviato come server API, ricevere traffico, includere un proxy HTTP trasparente e scansionare automaticamente i dati ricevuti. Per Burp Suite viene menzionata un'estensione separata burp-vigolium che consente di inviare traffico live al server Vigolium.Workbench e Console.
Oltre alla CLI, il progetto descrive Workbench — dashboard self-hosted per visualizzare i risultati, gestire progetti e tenere traccia delle scoperte. Console — layer commerciale cloud per scansione gestita, reportistica centralizzata, collaborazione e pianificazione delle verifiche.
Installazione
Il progetto offre l'installazione tramite script shell, npm, Docker, Homebrew, Bun e compilazione dai sorgenti. Per la compilazione dai sorgenti sono specificati i requisiti nel README Go 1.26+ e bun 1.3.11+.
curl -fsSL https://vigolium.com/install.sh | bash
npm install -g @vigolium/vigolium
docker pull j3ssie/vigolium:latest
docker run —rm j3ssie/vigolium:latest scan -h
Gli sviluppatori avvertono separatamente che Vigolium è uno strumento di sicurezza offensiva: la modalità agenziale viene eseguita senza sandbox e ottiene accesso completo a shell, file system e rete dell'host, e le estensioni possono anche eseguire comandi arbitrari. Pertanto, si consiglia di eseguire le scansioni agenziali in un contenitore usa e getta o in una macchina virtuale limitata entro il quadro di test specifico.
Fonte: linux.org.ru
