Den första offentliga versionen har publicerats Vigolium v0.1.13-beta â av en sĂ„rbarhetsskanner för webbapplikationer som kombinerar klassisk deterministisk skanning med en agentbaserad revision byggd pĂ„ LLM. Projektet finns tillgĂ€ngligt pĂ„ GitHub och distribueras under licensen GNU AGPLv3; den kommersiella delen har flyttats till molnet Cloud Console, medan kĂ€rnan av skannern Ă€r deklarerad som öppen.
Vigolium erbjuder tvĂ„ grundlĂ€ggande driftsĂ€tt: vigolium scan â vanlig flerstegs skanning med innehĂ„llsidentifiering, spidering via webblĂ€sare, aktiv och passiv revision; och vigolium agent â agentlĂ€get dĂ€r LLM vĂ€ljer moduler, planerar attacker, genererar anpassade JavaScript-tillĂ€gg och kombinerar dynamisk testning med kodrevision.
Enligt uppgifter aktuellt modulkatalog, Vigolium inkluderar 251 verifieringsmoduler, varav 154 aktiva och 97 passiva. Aktiva moduler skickar modifierade förfrĂ„gningar och tillĂ€mpar fuzzing, injektioner och beteendeanalys, passiva â analyserar redan befintliga par av förfrĂ„gan/svar utan att generera ytterligare trafik.
Funktioner
Native Scan â vanlig deterministisk skanning.
Vigolium scan-lĂ€get Ă€r avsett för snabba och reproducerbara kontroller. Det gĂ„r igenom flera faser: extern datainsamling, innehĂ„llsidentifiering, browser/SPA-spidering och revision. Detta lĂ€ge Ă€r lĂ€mpligt för CI, regelbundna kontroller och situationer dĂ€r det Ă€r viktigt att fĂ„ ett förutsĂ€gbart resultat utan deltagande av LLM.Agentic Scan â agentrevision med LLM.
Vigolium agent-lÀget anvÀnder den inbyggda runtime olium. Agenten kan sjÀlv hitta endpoints, vÀlja moduler, genomföra kontroller, analysera kod, utföra SAST och Äterkoppla fynd. Stöder Autopilot, Swarm och Query mode-scenarier: frÄn autonom skanning av mÄlet till enstaka förfrÄgningar för kodgranskning, hitta endpoints och upptÀckte hemligheter.Kontroller för XSS, SQLi, NoSQLi, SSTI, LFI, RCE, XXE och SSRF.
I modulkatalogen listas kontroller för reflekterad XSS, SQL-injektioner baserade pÄ fel och boolean-baserad blind SQLi, NoSQL-injektioner, server-side template injection, local file inclusion, command injection, XXE, SSRF och out-of-band-sÄrbarheter. För fynd anvÀnds en allvarlighetsgrad frÄn critical till info och en sÀkerhetsgrad pÄ certain, firm, tentative.OAST-kontroller för "blinda" sÄrbarheter.
Vigolium kan kontrollera blind XSS, blind SSRF, blind XXE och blind RCE via callback-mekanismer, inklusive genom interactsh. Detta Ă€r nödvĂ€ndigt för fall dĂ€r sĂ„rbarheten inte uppenbarar sig direkt i HTTP-svaret, men servern gör en extern DNS/HTTP-förfrĂ„gan eller utför en fördröjd Ă„tgĂ€rd.Value-aware mutation â mutation av parametrar med hĂ€nsyn till vĂ€rdemening.
Skannern klassificerar parametrar efter semantisk typ: nummer, UUID, JWT, e-post och andra varianter, varefter den vÀljer mutationer utifrÄn kontexten. Detta bör minska brus jÀmfört med grov substitution av samma payloads i alla fÀlt pÄ en gÄng.Stöd för olika ingÄngsformat.
Som indata kan URL, OpenAPI/Swagger-specifikationer, Postman-samlingar, data frÄn Burp Suite, cURL och Nuclei JSONL anvÀndas. URL kan ocksÄ matas in via stdin och olika faser av skanning kan köras.Autentiserad skanning och kontroller för IDOR/BOLA.
Vigolium stöder flera sessioner samtidigt: sessioner kan överföras inline, laddas frÄn filer eller beskrivas i fullstÀndiga login-flöden med extrahering av tokens. Detta anvÀnds för att kontrollera horisontell och vertikal Ätkomstkontroll, inklusive IDOR/BOLA och upphöjning av privilegier.Kontroller för ramverk och typiska lÀckor.
I modullistan finns kontroller för Next.js, Spring/Java, Django, Flask, FastAPI, Laravel, Symfony, Rails, Express och ASP.NET/IIS. Till exempel, för Spring kontrolleras öppna Actuator-endpoints, Spring Boot Admin, Spring Cloud Config, H2 Console, Jolokia och Java-applikationsservers konsoler; för Next.js â lĂ€ckor genom /_next/data, SSRF i Image Optimizer och omdirigeringar av middleware.JavaScript-tillĂ€gg.
AnvÀndaren kan skriva egna moduler och hooks i JavaScript via den inbyggda JS-motorn med ett HTTP API som tar hÀnsyn till sessioner. En viktig begrÀnsning: sÄdana tillÀgg kan utföra godtyckliga kommandon och Àr inte isolerade i en sandlÄda, sÄ de mÄste betraktas som vanlig exekverbar kod.En separat triage-fas för resultaten.
I LLM-assisted security testing uppstÄr ofta problemet med trovÀrdiga, men oÄterkalleliga fynd. Författaren av Vigolium beskriver triage som ett separat steg: först samlar skannern kandidater, sedan Äterkontrollerar en separat verifiering varje fynd med bevis.BudgetbegrÀnsningar för agentlÀge.
För agentbaserad skanning kan man begrÀnsa token, antalet anrop av verktyg, antalet iterationer av triage och den totala körtiden. Detta Àr viktigt för CI och pentester med fast tid: agenten fÄr inte grÀva i ett mÄl oÀndligt och förbruka budget pÄ mindre nyttiga hypoteser.Rapporter, kö och skalning.
I Native Scan anges en konkurrenskraftig worker pool, per-host rate limiting, hybrid kö i minnet, pÄ disk eller i Redis, samt sjÀlvbÀrande HTML-rapporter. För utdata finns console, JSONL och HTML.ServerlÀge, API och integration med Burp Suite.
Vigolium kan startas som en API-server, ta emot trafik, aktivera en transparent HTTP-proxy och automatiskt skanna den mottagna datan. För Burp Suite nÀmns en separat tillÀgg, burp-vigolium, som gör det möjligt att skicka live-trafik till Vigolium-servern.Workbench och Console.
Förutom CLI beskriver projektet Workbench â ett sjĂ€lvhostat dashboard för visualisering av resultat, projektledning och spĂ„rning av fynd. Console â ett molnbaserat kommersiellt lager för managed scanning, centraliserad rapportering, samarbete och schemalĂ€ggning av granskningar.
Installation
Projektet erbjuder installation via shell-script, npm, Docker, Homebrew, Bun och kompilering frÄn kÀllkod. För kompilering frÄn kÀllkod anges krav i README Go 1.26+ och bun 1.3.11+.
curl -fsSL https://vigolium.com/install.sh | bash
npm install -g @vigolium/vigolium
docker pull j3ssie/vigolium:latest
docker run ârm j3ssie/vigolium:latest scan -h
Utvecklarna varnar sÀrskilt att Vigolium Àr ett offensivt sÀkerhetsverktyg: agentlÀget startas utan sandboxing och fÄr full Ätkomst till shell, filsystem och vÀrdens nÀtverk, och tillÀgg kan Àven utföra godtyckliga kommandon. DÀrför rekommenderas det att agentkontroller körs i en engÄngsbehÄllare eller virtuell maskin, begrÀnsad till ramarna för specifik testning.
KĂ€lla: linux.org.ru
