Shannon: white box AI-værktøj til penetrationstest med 41.4K stjerner
🤖 Shannon: white box AI-værktøj til penetrationstest med 41.4K stjerner – No PoC No Report
Shannoner et selvstændigt kørende white box AI-værktøj til penetrationstest, rettet mod webapplikationer og API'er:
- 41.4K GitHub Stars: et af de mest populære open source-projekter inden for sikkerhed
- No PoC No Report: ingen rapport uden PoC, nul falske positive
- XBOW-benchmark 96.15%: en exploit-succesrate, der overgår kommercielle værktøjer med overlegenhed
- $50 pr. kørsel: omkostningerne ved én test, rapporten er klar på 1-1,5 time
- White box-test: kræver adgang til kildekode; kildekodeanalyse + dynamiske angreb
Det erdet dynamiske verificeringslag i sikkerhedsværktøjskæden, som udfylder hullet i traditionel penetrationstest.
🔍 Hvorfor findes Shannon?
Problemet med sikkerhedshullet
Dit team bruger AI-programmeringsværktøjerog udruller kode hver dag, men penetrationstestlaves kun én gang om året – i mellemrummeter der 364 dages sikkerhedshul. Hvem udfylder det?
- Traditionelle scannere: rapporterer bunker af 'mulige' sårbarheder, som sikkerhedsingeniører skal verificere én for én
- Manuel penetrationstest: tager uger og koster titusindvis af dollars
- Sikkerhedshullet: i de 364 dage imellem kan sårbarheder sagtens blive udrullet til produktion
Shannons svar
Shannons svar er: enselvkørende penetrationstest-agent, der kan læse kildekode, selv styre en browser til at angribe og ikke rapporterer noget, hvis den ikke kan slå hul.
⚠️ Ikke en scanner: No Exploit, No Report
Det første skridt til at forstå Shannon
Det første skridt til at forstå Shannon er at slå fast, hvad denikke er:
- Ikke DAST: ikke et værktøj til dynamisk applikationssikkerhedstest
- Ikke SAST: ikke et værktøj til statisk applikationssikkerhedstest
- Ikke mønstergenkendelse: scanner ikke for kendte farlige mønstre
Traditionelle værktøjer er i bund og grundmønstergenkendelse – de scanner kode eller HTTP-svar for kendte farlige mønstre og spytter en liste over 'formodede sårbarheder' ud.
Shannons centrale designprincip
Shannons centrale designprincip kan opsummeres i én sætning:”POC or it didn't happen”(uden PoC er det lig med, at det ikke skete):
| Egenskab | Beskrivelse |
|---|---|
| Udfører reelle angreb | injicerer SQL via browserautomatisering, konstruerer XSS-payloads og sender SSRF-forespørgsler |
| Rapporterer kun succesfulde exploits | kun sårbarheder, der er udnyttet med succes, kommer i den endelige rapport |
| Leverer copy-paste-klar PoC | hvert fund leveres med PoC-kode, der kan kopieres og indsættes direkte |
| Ingen falske positive i rapporten | sårbarheder, der ikke kan udnyttes, markeres som 'falsk positiv' eller 'potentiel' og kommer ikke i rapporten |
Det betyder, at sikkerhedsteams modtagerhvert enkelt fund som verificeret og reproducerbart.
OWASP Juice Shop-test
I den officielleOWASP Juice Shop-testrapport fandt Shannon20+ sårbarheder:
- SQL-injektion til autentificeringsomgåelse(Critical)
- UNION-injektion til dataudtræk(Critical)
- SSRF(High)
- XSS(High)
- Flere autorisationsomgåelser(High)
Bemærkelsesværdigt nok var Shannons XSS-detektionnul falske positive på to andre testmål – den identificerede korrekt, at disse applikationer havde robust XSS-beskyttelse, uden fejlalarme.
🔬 Femtrins pipeline-arkitektur
Femtrins pipeline + parallelle multi-agent
Shannons tekniske arkitektur kan opsummeres i to nøgleord:femtrins pipelineogparallelle multi-agent:
| Trin | Navn | Beskrivelse |
|---|---|---|
| Trin 1 | Pre-Recon | ekstern scanning + kildekodeanalyse (Nmap, Subfinder, WhatWeb) |
| Trin 2 | Recon | bygger bro mellem statisk og dynamisk analyse, verificerer endpoints og kortlægger autentificeringsflow |
| Trin 3 | Vulnerability Analysis | 5 parallelle agenter, hver ansvarlig for en sårbarhedskategori |
| Trin 4 | Exploitation | 5 parallelle agenter, der udfører reelle angreb |
| Trin 5 | Reporting | udarbejder en rapport på penetrationstestniveau |
Underliggende inferensmotor
Shannon er baseret påAnthropic Claude Agent SDKog bruger en trelags modelkonfiguration:
- Claude Haiku 4.5: opsummering
- Claude Sonnet 4.6: sikkerhedsanalyse
- Claude Opus 4.6: dyb ræsonnement
📊 5 parallelle sårbarhedsagenter
5 uafhængige analyseagenter
Shannon starter samtidig5 uafhængige analyseagenter, hver ansvarlig for en sårbarhedskategori:
| Agent | Metode | Dækkede sårbarheder |
|---|---|---|
| Injection | Source→Sink-taintsporing | SQL-, kommando-, fil-, skabelon- og deserialiseringsinjektion |
| XSS | Sink→Source-taintsporing | cross-site scripting i HTML-renderingskontekst |
| SSRF | Sink→Source-taintsporing | HTTP-klienter, rå sockets, URL-åbnere |
| Auth | Guard-verificering | manglende sikkerhedskontroller (ratebegrænsning, sessionshåndtering m.m.) |
| Authz | Guard-verificering | manglende autorisationstjek (horisontal/vertikal/kontekstuel) |
De 5 agenterkører parallelt uden at blokere hinanden. Når en analyseagent er færdig, startes den tilhørende exploitagent med det samme.
Klassifikationsstatus for sårbarheder
Exploitagenten klassificerer hvert fund itre tilstande:
- EXPLOITED(udnyttet): kommer med i den endelige rapport
- POTENTIAL(potentiel): kommer ikke i rapporten
- FALSE POSITIVE(falsk positiv): kommer ikke i rapporten
KunEXPLOITEDkommer i den endelige rapport.
🔥 XBOW-benchmark 96.15%
XBOW-benchmarken
IXBOW-benchmarkenhar Shannon opnået96.15%en exploit-succesrate på 96.15% (100/104):
| Sårbarhedstype | Antal | Succes | Succesrate |
|---|---|---|---|
| Broken Authorization | 25 | 25 | 100% |
| SQL Injection | 7 | 7 | 100% |
| Blind SQL Injection | 3 | 3 | 100% |
| SSRF / Misconfiguration | 22 | 21 | 95.45% |
| XSS | 23 | 22 | 95.65% |
| Server-Side Template Injection | 13 | 12 | 92.31% |
| Command Injection | 11 | 10 | 90.91% |
| I alt | 104 | 100 | 96.15% |
Bemærkninger til testbetingelserne
- XBOW-benchmarken: 104 applikationer med bevidst indbyggede sårbarheder
- Rensede versioner: variabelnavne, kommentarer og filstifledder er fjernet
- White box-tilstand: Shannon har adgang til applikationens kildekode
Sammenligning med kommercielle værktøjer
- Shannon: 96.15% (white box-tilstand)
- KinoSec: 92.3% (black box-tilstand)
- Xfenser AI: 88.5%
- XBOWs kommercielle platform: ca. 85% (black box)
💰 Omkostninger og komme i gang
Omkostninger
Én komplet scanning:
- Tidsforbrug: 1-1,5 timer
- API-omkostninger: ca. $50 USD (baseret på Claude Sonnet 4.6)
- Interval: $40-55 afhængigt af modelpriser og applikationens kompleksitet
Til sammenligningtraditionel manuel penetrationstest: titusindvis af dollars ad gangen og ugers varighed.
Sådan kommer du i gang
npx-tilstand(anbefalet, nul installation):
# 一次性配置 npx @keygraph/shannon setup # 运行渗透测试 npx @keygraph/shannon start -u https://your-app.com -r /path/to/repo
Lokal tilstand(fuld build):
# 克隆仓库 git clone https://github.com/KeygraphHQ/shannon.git cd shannon # 配置 API Key echo "ANTHROPIC_API_KEY=your-key" > .env # 安装和构建 pnpm install && pnpm build # 运行 ./shannon start -u https://your-app.com -r /path/to/repo
Forudsætninger
- Docker: container-runtime
- Node.js 18+: runtime-miljø
- Anthropic API Key: anbefalet
- Adgang til kildekode: white box-værktøjet kræver det
🤝 Shannon Lite vs. Shannon Pro
De to versioner
| Version | Licens | Målgruppe |
|---|---|---|
| Shannon Lite | AGPL-3.0 | test dine egne applikationer lokalt |
| Shannon Pro | Kommerciel | organisationsdækkende AppSec-platform (SAST + SCA + Pentest) |
Shannon Pro-funktioner
Shannon Proer en komplet platform til applikationssikkerhed:
- Code Property Graph: statisk analys
- Sikkerhedstest af forretningslogik: automatisk opdagelse af invarianter
- SCA-nåbarhedsanalyse: sporing af CVE-nåbarhed
- Detektion af secrets: regex + LLM-detektion
- Statisk-dynamisk korrelation: statiske fund føres automatisk videre til den dynamiske penetrationstest
- CI/CD-integration: scanning af GitHub PR'er
⚠️ Vigtige forbehold ved brug
Vigtige advarsler
- Må under ingen omstændigheder bruges mod systemer uden tilladelse: Shannon udfører reelle angreb, og uautoriseret scanning er ulovligt
- Anbefales ikke kørt i produktionsmiljøer: angrebene kan have destruktive konsekvenser
- Repoet kan være sårbar over for AI-promptinjektion: det er en sikkerhedsrisiko, der udtrykkeligt nævnes officielt
- Shannon Lite er et white box-værktøj: kræver adgang til kildekoderepoet
Risiko for LLM-hallucinationer
Officielt forbehold: LLM'er kan stadig hallucinere, så alle fund skalverificeres manuelt med hensyn til gyldighed og alvorlighed.
📝 Konklusion
Shannon repræsenterer et sikkerhedsværktøjsparadigme, der er ved at tage form:
- No PoC No Report: der rapporteres kun succesfulde exploits
- 41.4K stjerner: et af sikkerhedsverdenens hotteste open source-projekter
- XBOW-benchmark 96.15%: en white box-succesrate, der overgår de kommercielle værktøjer
- Femtrins pipeline: Pre-Recon → Recon → Vuln → Exploit → Report
- 5 parallelle agenttyper: Injection, XSS, SSRF, Auth, Authz
- $50 pr. kørsel, 1-1,5 timer: langt billigere end manuel penetrationstest
- White box-værktøj: kræver adgang til kildekode
Ingen rapport uden PoC – Shannon gør penetrationstest til én enkelt kommando.
GitHub:https://github.com/KeygraphHQ/shannon
Hjemmeside:https://keygraph.io