Vigolium verbindet klassische Scans mit Agenten-Audits
1. August 2026
Vigolium ist ein offener Web-Sicherheitsscanner, der deterministische Module mit LLM-gestützten Audit- und Triage-Läufen kombiniert.
Worum es geht
Vigolium ist ein konkretes AI-Security-Tool für Webanwendungen und Codebasen. Es kombiniert klassische, deterministische Schwachstellenscans mit einem agentischen Audit-Modus, der Ziele erkundet, Module auswählt, Erweiterungen erzeugt und Befunde nachprüft.
Das Tool passt in eine Lücke, die viele Sicherheitsteams 2026 spüren: Reine Scanner finden viel Rauschen, reine LLM-Code-Reviews halluzinieren zu leicht. Vigolium versucht beides zu verbinden und die Ergebnisse mit nachvollziehbaren Belegen nutzbar zu machen.
Was Vigolium tatsächlich macht
Vigolium stellt zwei Wege bereit. Der native Befehl vigolium scan führt eine mehrphasige Prüfung aus: Content Discovery, Browser- und SPA-Spidering, aktive und passive Audits, Out-of-band-Tests und Berichte. Das GitHub-Repository nennt 317 Scanner-Module und Eingaben wie URLs, OpenAPI-Dateien, Postman-Sammlungen, Burp-Suite-Daten und cURL.
Der zweite Weg ist vigolium agent. Hier plant ein Agent die Prüfung, nutzt Source-Code-Audits, wählt Module, erzeugt JavaScript-Erweiterungen und triagiert Ergebnisse. Unterstützt werden verschiedene Provider-Treiber, darunter OpenAI-kompatible Endpunkte, OpenAI, Anthropic, Vertex und OAuth-Varianten.
Wichtig ist auch die Architekturentscheidung: Laut Help Net Security bleibt das Finden von Bugs im AGPL-Repository, während die kommerzielle Cloud Console den Betrieb, Hosting, Zusammenarbeit, Skalierung und Planung darüberlegt.
Warum das wichtig ist
Sicherheitsarbeit braucht reproduzierbare Belege. Ein Agent, der nur eine plausible Schwachstelle beschreibt, hilft wenig, wenn ein Entwickler sie nicht nachstellen kann. Vigolium adressiert genau diesen Punkt durch getrennte Scan- und Triage-Phasen. Der Autor Jessie Ho erklärte Help Net Security, dass die Triage Kandidaten noch einmal gegen ihre Beweise prüft.
Für echte Nutzer ist der Budget-Teil fast genauso wichtig wie die KI selbst. Vigolium erlaubt Grenzen für Token, Tool-Aufrufe, Triage-Iterationen und Laufzeit. Das ist praktisch, weil agentische Security-Läufe sonst entweder zu früh abbrechen oder unnötig Kosten verbrennen können.
Der Nutzen ist daher besonders hoch für AppSec-Teams, Bug-Bounty-Programme, kleine Security-Teams und Entwickler, die neben CI-Scans auch tiefere, zielgerichtete Prüfungen wollen. Es ersetzt keinen Penetrationstest, kann aber Lücken zwischen automatischem Scan und manueller Analyse verkleinern.
Einfach erklärt
Vigolium ist wie ein Gebäudetechniker mit Checkliste und Taschenlampe. Die Checkliste prüft Türen, Fenster und Sicherungen immer gleich. Die Taschenlampe hilft, ungewöhnliche Ecken anzusehen, aber am Ende muss jeder Fund noch einmal mit einem Foto und einer genauen Position belegt werden.
Praktisches Beispiel
Ein SaaS-Team betreibt eine API mit 80 Endpunkten und einem React-Frontend. Vor jedem Release läuft ein schneller nativer Vigolium-Scan gegen die Staging-URL. Er prüft bekannte Klassen wie XSS, SQL-Injection, SSRF, Authentifizierungsfehler und Zugriffskontrollen.
Einmal pro Woche startet das Team zusätzlich vigolium agent autopilot mit Quellcode und Staging-Ziel. Der Agent bekommt 45 Minuten Laufzeit, ein festes Token-Budget und den Fokus "BOLA und Rollenwechsel". Findet er fünf Kandidaten, prüft die Triage sie separat. Zwei Befunde werden als reproduzierbar markiert, zwei werden herabgestuft, einer bleibt als niedrige Unsicherheit im Bericht. Das spart keine Verantwortung, aber es reduziert die Sortierarbeit.
Einordnung und Grenzen
Erstens führen Vigolium-Erweiterungen JavaScript aus und können laut Help Net Security beliebige Befehle ohne Sandbox ausführen. Fremde Erweiterungen gehören deshalb nicht ungeprüft in produktive Umgebungen.
Zweitens braucht agentisches Scannen klare Budgets. Zu enge Grenzen schneiden echte Spuren ab, zu weite Grenzen erzeugen Kosten und Rauschen.
Drittens darf das Tool nur auf eigenen oder ausdrücklich autorisierten Zielen laufen. Ein mächtiger Scanner bleibt rechtlich und operativ riskant, wenn der Scope unklar ist.
SEO- und GEO-Schlüsselbegriffe
Vigolium, AI Security Scanner, AppSec, Vulnerability Scanner, Agentic Scan, Web Security, OWASP Top 10, LLM Security, Bug Bounty, AGPL, Security Automation, Source-Code-Audit
💡 Im Klartext
Vigolium prüft Webanwendungen mit klassischen Scans und einem optionalen KI-Agenten. Der interessante Punkt ist die Mischung aus schneller Prüfung, tieferem Audit und separater Triage.
Wichtigste Erkenntnisse
- →Vigolium kombiniert native Web-Scans mit agentischen Audit-Modi.
- →Das Repository nennt 317 Scanner-Module und viele Eingabeformate.
- →Budgetgrenzen für Token, Tool-Aufrufe und Laufzeit machen Agentenläufe kontrollierbarer.
- →Die offene Kernfunktion steht unter AGPL, die Cloud Console deckt Betrieb und Zusammenarbeit ab.
- →Fremde Erweiterungen und unklare Ziele sind die wichtigsten Risiken.
Häufige Fragen
Ist Vigolium nur ein LLM-Code-Reviewer?
Nein. Es kombiniert deterministische Web-Scans, Quellcode-Audits, Agentenplanung und Triage.
Welche Teams sollten Vigolium testen?
AppSec-Teams, Bug-Bounty-Programme und Entwicklerteams mit eigenen Webanwendungen sind die naheliegenden Zielgruppen.
Was ist das größte Risiko?
Ungeprüfte Erweiterungen und unklare Scan-Ziele. Das Tool gehört nur in autorisierte Umgebungen mit klaren Budgets.