Shannon: white-box AI nástroj pro penetrační testování s 41,4 tis. hvězd
🤖 Shannon: white-box AI nástroj pro penetrační testování s 41,4 tis. hvězd, No PoC No Report
Shannonje autonomní white-box AI nástroj zaměřený na penetrační testování webových aplikací a API:
- 41,4 tis. hvězd na GitHubu: jeden z nejpopulárnějších open source projektů v oblasti bezpečnosti
- No PoC No Report: bez PoC žádný nález, nulové false positive
- Benchmark XBOW 96,15 %: v úspěšnosti exploatace drtí komerční nástroje
- $50 za běh: cena jednoho testu, zpráva je hotová za 1–1,5 hodiny
- White-box testování: vyžaduje přístup ke zdrojovému kódu, analýzu zdrojáku a dynamické útoky
Jde ovrstvu dynamického ověřování v bezpečnostním řetězci nástrojů, která zaplňuje mezeru klasického penetračního testování.
🔍 Proč Shannon vznikl?
Problém bezpečnostní mezery
Váš tým pomocí AI nástrojů pro programovánídenně nasazuje kód, ale penetrační testproběhne jednou za rok – kdo zaplnízbývajících 364 dníbezpečnostní mezery?
- Klasické skenery: nahlásí spoustu „možných“ zranitelností a bezpečnostní inženýr musí každou z nich ručně ověřit
- Manuální penetrační testování: trvá týdny a stojí desítky tisíc dolarů
- Bezpečnostní mezera: zbylých 364 dní možná nasazujete zranitelnosti rovnou do produkce
Odpověď Shannonu
Shannon odpovídá jednímplně autonomním penetračním agentem, který umí číst zdrojový kód, sám ovládat prohlížeč a útočit – a pokud se nedostane dovnitř, nález neohlásí.
⚠️ Není to skener: No Exploit, No Report
První krok k pochopení
Shannonu spočívá v tom, že si ujasníte, čímnení:
- Není to DAST: žádný nástroj pro dynamické testování bezpečnosti aplikací
- Není to SAST: žádný nástroj pro statickou analýzu bezpečnosti aplikací
- Není to hledání vzorů: neprochází kód hledáním známých nebezpečných vzorců
Tradiční nástroje jsou v podstatěhledače vzorů – procházejí kód nebo odpovědi HTTP, hledají známé nebezpečné vzorce a výsledkem je seznam „podezřelých zranitelností“.
Hlavní princip návrhu Shannonu
Základní pravidlo Shannonu se dá vyjádřit jednou větou:„POC or it didn’t happen“ (bez PoC se to nestalo):
| Vlastnost | Popis |
|---|---|
| Skutečné útoky | přes automatizaci prohlížeče vkládá SQL, sestavuje XSS payloady a odesílá požadavky SSRF |
| Hlásí jen úspěšné zneužití | : do finální zprávy se dostanou výhradně zneužité zranitelnosti |
| PoC k okamžitému použití | : každý nález obsahuje kód PoC, který stačí zkopírovat a vložit |
| False positive neprojde | : nezneužitelné zranitelnosti jsou označeny jako „false positive“ nebo „potenciální“ a do zprávy se nedostanou |
Bezpečnostní tým tak dostane výsledky, u nichžje každý nález ověřený a reprodukovatelný.
Test na OWASP Juice Shop
Ve zveřejněném testu naOWASP Juice Shop Shannon odhalilvíce než 20 zranitelností:
- Obcházení autentizace přes SQL injection(Critical)
- Extrakce dat přes UNION injection(Critical)
- SSRF(High)
- XSS(High)
- Několik způsobů obcházení autorizace(High)
Pozoruhodné je, že u dalších dvou testovaných cílů měla detekce XSS v podání Shannonnulové false positive – správně rozpoznal, že aplikace mají robustní obranu proti XSS, a nic falešně nenahlásil.
🔬 Architektura s pětifázovou pipeline
Pětifázová pipeline + paralelní běh agentů
Technickou architekturu Shannonu vystihují dvě klíčová slova:pětifázová pipelineaparalelní běh více agentů:
| Fáze | Název | Popis |
|---|---|---|
| Fáze 1 | Pre-Recon | externí skenování + analýza zdrojového kódu (Nmap, Subfinder, WhatWeb) |
| Fáze 2 | Recon | propojuje statickou a dynamickou analýzu, ověřuje endpointy a mapuje autentizační toky |
| Fáze 3 | Vulnerability Analysis | 5 paralelních agentů, každý má na starosti jednu kategorii zranitelností |
| Fáze 4 | Exploitation | 5 paralelních agentů provádí skutečné útoky |
| Fáze 5 | Reporting | vygeneruje zprávu na úrovni penetračního testu |
Podkladový inference engine
Shannon staví naAnthropic Claude Agent SDK a využívá tři vrstvy modelů:
- Claude Haiku 4.5: shrnování
- Claude Sonnet 4.6: bezpečnostní analýza
- Claude Opus 4.6: hluboké uvažování
📊 Paralelní agenti pro 5 kategorií zranitelností
5 nezávislých analytických agentů
Shannon spouští zároveň5 nezávislých analytických agentů, z nichž každý řeší jednu kategorii zranitelností:
| Agent | Metoda | Pokryté zranitelnosti |
|---|---|---|
| Injection | Taint tracking Source→Sink | SQL/command/file/template/deserialization injection |
| XSS | Taint tracking Sink→Source | cross-site scripting v kontextu vykreslování HTML |
| SSRF | Taint tracking Sink→Source | HTTP klienti, raw sockety, otevírání URL |
| Auth | Ověřování guardů | chybějící bezpečnostní kontroly (rate limiting, správa relací apod.) |
| Authz | Ověřování guardů | chybějící autorizační kontroly (horizontální, vertikální i kontextové) |
Všech 5 agentůběží souběžně a navzájem se neblokují. Jakmile analytický agent skončí, okamžitě startuje odpovídající exploitation agent.
Stavy klasifikace nálezů
Exploitation agent roztřídí každý nález dotří stavů:
- EXPLOITED (zneužito): postupuje do finální zprávy
- POTENTIAL (potenciální): do zprávy se nedostane
- FALSE POSITIVE (false positive): do zprávy se nedostane
Do finální zprávy se dostane výhradněEXPLOITED.
🔥 Benchmark XBOW: 96,15 %
Benchmark XBOW
Shannon vbenchmarku XBOWdosáhl96.15%úspěšnosti zneužití 96,15 % (100/104):
| Typ zranitelnosti | Celkem | Úspěšně | Úspěšnost |
|---|---|---|---|
| Broken Authorization | 25 | 25 | 100% |
| SQL Injection | 7 | 7 | 100% |
| Blind SQL Injection | 3 | 3 | 100% |
| SSRF / Misconfiguration | 22 | 21 | 95.45% |
| XSS | 23 | 22 | 95.65% |
| Server-Side Template Injection | 13 | 12 | 92.31% |
| Command Injection | 11 | 10 | 90.91% |
| Celkem | 104 | 100 | 96.15% |
Podmínky testu
- Benchmark XBOW: 104 aplikací se záměrně vloženými zranitelnostmi
- Vyčištěná verze: bez názvů proměnných, komentářů a nápověd v cestách k souborům
- White-box režim: Shannon má přístup ke zdrojovému kódu aplikace
Srovnání s komerčními nástroji
- Shannon: 96,15 % (white-box režim)
- KinoSec: 92,3 % (black-box režim)
- Xfenser AI: 88,5 %
- Komerční platforma XBOW: přibližně 85 % (black-box)
💰 Náklady a jak začít
Náklady
Jeden kompletní sken:
- Doba běhu: 1–1,5 hodiny
- Náklady na API: přibližně $50 USD (s modelem Claude Sonnet 4.6)
- Rozpětí: $40–55 podle cen modelu a složitosti aplikace
SrovnáníTradiční manuální penetrační test: desítky tisíc dolarů a několik týdnů čekání.
Jak začít
Režim npx (doporučeno, nulová instalace):
# 一次性配置 npx @keygraph/shannon setup # 运行渗透测试 npx @keygraph/shannon start -u https://your-app.com -r /path/to/repo
Lokální režim (kompletní sestavení):
# 克隆仓库 git clone https://github.com/KeygraphHQ/shannon.git cd shannon # 配置 API Key echo "ANTHROPIC_API_KEY=your-key" > .env # 安装和构建 pnpm install && pnpm build # 运行 ./shannon start -u https://your-app.com -r /path/to/repo
Předpoklady
- Docker: běhový prostředí pro kontejnery
- Node.js 18+: běhové prostředí
- Anthropic API Key: doporučeno
- Přístup ke zdrojovému kódu: nezbytný pro white-box nástroj
🤝 Shannon Lite vs Shannon Pro
Dvě verze
| Verze | Licence | Zaměření |
|---|---|---|
| Shannon Lite | AGPL-3.0 | lokální testování vlastních aplikací |
| Shannon Pro | Komerční | AppSec platforma pro organizace (SAST + SCA + Pentest) |
Funkce Shannon Pro
Shannon Proje plnohodnotná platforma pro bezpečnost aplikací:
- Code Property Graph: engine pro statickou analýzu
- Bezpečnostní testování obchodní logiky: automatické objevování invariantů
- Reachability analýza v rámci SCA: sledování dosažitelnosti CVE
- Detekce tajných údajů: detekce pomocí regulárních výrazů a LLM
- Propojení statické a dynamické části: statické nálezy automaticky napájejí dynamický penetrační test
- Integrace s CI/CD: skenování pull requestů na GitHubu
⚠️ Na co si dát pozor
Důležitá upozornění
- Nikdy jej nepoužívejte proti neautorizovaným systémům: Shannon provádí skutečné útoky a neautorizované skenování je nezákonné
- Nedoporučuje se spouštět v produkčním prostředí: útočné chování může mít destruktivní dopady
- Repozitář může obsahovat AI prompt injection: jde o bezpečnostní riziko výslovně uvedené v oficiální dokumentaci
- Shannon Lite je white-box nástroj: vyžaduje přístup k repozitáři se zdrojovým kódem
Riziko halucinací LLM
Oficiální prohlášení o vyloučení odpovědnosti: LLM stále mohou halucinovat, je proto nutnéručně ověřit legitimitu a závažnost všech nálezů.
📝 Shrnutí
Shannon představuje rodící se paradigma bezpečnostních nástrojů:
- No PoC No Report: hlásí jen úspěšně zneužité zranitelnosti
- 41,4 tis. hvězd: nejpopulárnější open source projekt v oblasti bezpečnosti
- Benchmark XBOW 96,15 %: v white-box režimu překonává komerční nástroje
- Pětifázová pipeline: Pre-Recon → Recon → Vuln → Exploit → Report
- 5 paralelních agentů: Injection, XSS, SSRF, Auth, Authz
- $50 za běh, 1–1,5 hodiny: náklady hluboko pod cenou manuálního penetračního testu
- White-box nástroj: vyžaduje přístup ke zdrojovému kódu
Bez PoC se nehlásí – Shannon mění penetrační testování v jediný příkaz.
GitHub:https://github.com/KeygraphHQ/shannon
Oficiální stránky:https://keygraph.io