Shannon: White-Box-KI-Tool für Penetrationstests mit 41.4K Stars
🤖 Shannon: White-Box-KI-Tool für Penetrationstests mit 41.4K Stars – No PoC, No Report
Shannonist ein autonom agierendes White-Box-KI-Tool für Penetrationstests, gerichtet auf Webanwendungen und APIs:
- 41.4K GitHub Stars: eines der populärsten Open-Source-Projekte im Security-Bereich
- No PoC No Report: ohne PoC keine Meldung, null Falschpositive
- XBOW-Benchmark 96.15%: die Exploit-Erfolgsquote übertrifft kommerzielle Tools bei Weitem
- $50 pro Testlauf: Kosten pro Test, Bericht nach 1–1,5 Stunden
- White-Box-Tests: erfordert Zugriff auf den Quellcode, Quellcodeanalyse + dynamische Angriffe
Es ist diedynamische Validierungsschicht in der Security-Toolchain, die eine Lücke im traditionellen Penetrationstesting schließt.
🔍 Warum gibt es Shannon?
Das Problem der Security-Lücke
Ihr Team deployt mit KI-Programmierwerkzeugentäglich Code, aber Penetrationstestsfinden nur einmal im Jahr statt – die364 Tage Security-Lückedazwischen: Wer füllt sie?
- Traditionelle Scanner: melden eine Menge „möglicherweise vorhandener“ Schwachstellen, die Security-Engineers einzeln verifizieren müssen
- Manuelle Penetrationstests: dauern Wochen und kosten zehntausende Dollar
- Die Security-Lücke: in den 364 Tagen dazwischen werden womöglich Schwachstellen in die Produktivumgebung deployt
Shannons Antwort
Shannons Antwort ist: einAgent, der Quellcode lesen, selbstständig per Browser Angriffe starten kann und nichts meldet, wenn der Angriff nicht gelingt– ein vollautonomer Pentest-Agent.
⚠️ Kein Scanner: No Exploit, No Report
Der erste Schritt zum Verständnis von Shannon
Der erste Schritt, Shannon zu verstehen, ist zu klären, was esnicht ist:
- Kein DAST: kein Tool für dynamische Anwendungssicherheitstests
- Kein SAST: kein Tool für statische Anwendungssicherheitstests
- Kein Musterabgleich: kein Scannen auf bekannte gefährliche Muster
Klassische Tools sind im KernMusterabgleich – sie durchsuchen Code oder HTTP-Antworten nach bekannten gefährlichen Mustern und geben eine Liste „mutmaßlicher Schwachstellen“ aus.
Shannons zentrales Designprinzip
Shannons zentrales Designprinzip lässt sich in einem Satz zusammenfassen:“POC or it didn’t happen”(ohne PoC gilt: nicht passiert):
| Merkmal | Beschreibung |
|---|---|
| Tatsächliche Angriffe | Injiziert per Browser-Automatisierung SQL, baut XSS-Payloads und sendet SSRF-Requests |
| Meldung nur nach erfolgreichem Exploit | Nur erfolgreich ausgenutzte Schwachstellen gelangen in den Abschlussbericht |
| Mit kopierfertigem PoC | Jeder Fund enthält direkt kopierbaren PoC-Code |
| Keine Falschpositive im Bericht | Nicht ausnutzbare Schwachstellen werden als „False Positive“ oder „Potential“ markiert und erscheinen nicht im Bericht |
Das bedeutet: Was Security-Teams erhalten, istjeder einzelne Fund verifiziert und reproduzierbar.
OWASP-Juice-Shop-Test
Im offiziellenOWASP Juice Shop-Testbericht fand Shannonüber 20 Schwachstellen:
- SQL-Injection-Authentifizierungsumgehung(Critical)
- Datenextraktion per UNION-Injection(Critical)
- SSRF(High)
- XSS(High)
- Mehrere Autorisierungsumgehungen(High)
Bemerkenswert: Bei zwei weiteren Testzielen lag Shannons XSS-Erkennung beinull Falschpositiven – es erkannte korrekt, dass diese Anwendungen über robuste XSS-Abwehr verfügen, und meldete nichts fälschlich.
🔬 Fünfstufige Pipeline-Architektur
Fünfstufige Pipeline + parallele Multi-Agent-Ausführung
Shannons technische Architektur lässt sich auf zwei Stichworte bringen:fünfstufige Pipelineundparallele Multi-Agent-Ausführung:
| Phase | Name | Beschreibung |
|---|---|---|
| Phase 1 | Pre-Recon | Externes Scannen + Quellcodeanalyse (Nmap, Subfinder, WhatWeb) |
| Phase 2 | Recon | Verbindet statische und dynamische Analyse, verifiziert Endpunkte, bildet Authentifizierungsflüsse ab |
| Phase 3 | Vulnerability Analysis | 5 parallele Agenten, jeweils zuständig für eine Schwachstellenkategorie |
| Phase 4 | Exploitation | 5 parallele Agenten, führen echte Angriffe aus |
| Phase 5 | Reporting | Erstellt einen Bericht auf Pentest-Niveau |
Die zugrundeliegende Inferenz-Engine
Shannon basiert auf demAnthropic Claude Agent SDK und nutzt eine dreistufige Modellkonfiguration:
- Claude Haiku 4.5: Zusammenfassungen
- Claude Sonnet 4.6: Sicherheitsanalyse
- Claude Opus 4.6: tiefgehendes Schlussfolgern
📊 5 parallele Agenten für 5 Schwachstellenkategorien
5 unabhängige Analyse-Agenten
Shannon startet gleichzeitig5 unabhängige Analyse-Agenten, jeweils zuständig für eine Schwachstellenkategorie:
| Agent | Methode | Abgedeckte Schwachstellen |
|---|---|---|
| Injection | Source→Sink-Taint-Tracking | SQL-/Befehls-/Datei-/Template-/Deserialisierungs-Injection |
| XSS | Sink→Source-Taint-Tracking | Cross-Site-Scripting im HTML-Renderkontext |
| SSRF | Sink→Source-Taint-Tracking | HTTP-Clients, Raw-Sockets, URL-Öffner |
| Auth | Guard-Verifizierung | Fehlende Sicherheitskontrollen (Rate-Limiting, Sitzungsverwaltung u. a.) |
| Authz | Guard-Verifizierung | Fehlende Autorisierungsprüfungen (horizontal/vertikal/kontextuell) |
Die 5 Agentenlaufen parallel, ohne sich gegenseitig zu blockieren. Sobald ein Analyse-Agent fertig ist, startet der zugehörige Exploit-Agent sofort.
Klassifizierungsstatus von Schwachstellen
Die Exploit-Agenten klassifizieren jeden Fund indrei Status:
- EXPLOITED(ausgenutzt): kommt in den Abschlussbericht
- POTENTIAL(potenziell): kommt nicht in den Bericht
- FALSE POSITIVE(Falschpositiv): kommt nicht in den Bericht
NurEXPLOITEDgelangt in den Abschlussbericht.
🔥 XBOW-Benchmark: 96.15%
Der XBOW-Benchmark
Shannon hat beimXBOW-Benchmarkeine96.15%Exploit-Erfolgsquote von (100/104) erreicht:
| Schwachstellentyp | Gesamt | Erfolge | Erfolgsquote |
|---|---|---|---|
| Broken Authorization | 25 | 25 | 100% |
| SQL Injection | 7 | 7 | 100% |
| Blind SQL Injection | 3 | 3 | 100% |
| SSRF / Misconfiguration | 22 | 21 | 95.45% |
| XSS | 23 | 22 | 95.65% |
| Server-Side Template Injection | 13 | 12 | 92.31% |
| Command Injection | 11 | 10 | 90.91% |
| Gesamt | 104 | 100 | 96.15% |
Anmerkungen zu den Testbedingungen
- XBOW-Benchmark: 104 Anwendungen mit absichtlich eingebauten Schwachstellen
- Bereinigte Versionen: Variablennamen, Kommentare und Dateipfad-Hinweise entfernt
- White-Box-Modus: Shannon hat Zugriff auf den Quellcode der Anwendung
Vergleich mit kommerziellen Tools
- Shannon: 96.15% (White-Box-Modus)
- KinoSec: 92.3% (Black-Box-Modus)
- Xfenser AI: 88.5%
- XBOW Commercial Platform: ca. 85% (Black-Box)
💰 Kosten und Einstieg
Kosten
Ein vollständiger Scan:
- Dauer: 1–1,5 Stunden
- API-Kosten: ca. 50 USD (basierend auf Claude Sonnet 4.6)
- Spanne: 40–55 USD, abhängig von Modellpreisen und Anwendungskomplexität
Zum Vergleichtraditionelle manuelle Penetrationstests: zehntausende Dollar pro Test und mehrere Wochen Dauer.
So starten Sie
npx-Modus(empfohlen, ohne Installation):
# 一次性配置 npx @keygraph/shannon setup # 运行渗透测试 npx @keygraph/shannon start -u https://your-app.com -r /path/to/repo
Lokaler Modus(vollständiger Build):
# 克隆仓库 git clone https://github.com/KeygraphHQ/shannon.git cd shannon # 配置 API Key echo "ANTHROPIC_API_KEY=your-key" > .env # 安装和构建 pnpm install && pnpm build # 运行 ./shannon start -u https://your-app.com -r /path/to/repo
Voraussetzungen
- Docker: Container-Runtime
- Node.js 18+: Laufzeitumgebung
- Anthropic API Key: empfohlen
- Quellcodezugriff: für ein White-Box-Tool erforderlich
🤝 Shannon Lite vs Shannon Pro
Die beiden Versionen
| Version | Lizenz | Ausrichtung |
|---|---|---|
| Shannon Lite | AGPL-3.0 | Lokales Testen der eigenen Anwendungen |
| Shannon Pro | Kommerziell | AppSec-Plattform für Organisationen (SAST + SCA + Pentest) |
Shannon-Pro-Funktionen
Shannon Proist eine umfassende Anwendungssicherheitsplattform:
- Code Property Graph: statische Analyse-Engine
- Sicherheitstests für Geschäftslogik: automatisierte Invarianten-Erkennung
- SCA-Reachability-Analyse: CVE-Erreichbarkeits-Tracking
- Secret-Detection: Regex- + LLM-Erkennung
- Statisch-dynamische Korrelation: statische Funde werden automatisch in dynamische Pentests eingespeist
- CI/CD-Integration: GitHub-PR-Scans
⚠️ Wichtige Hinweise zur Nutzung
Wichtige Warnhinweise
- Niemals gegen Systeme ohne Autorisierung einsetzen: Shannon führt echte Angriffe aus; unautorisiertes Scannen ist illegal
- Nicht für den Produktivbetrieb empfohlen: die Angriffe können zerstörerische Auswirkungen haben
- Repositorys könnten anfällig für KI-Prompt-Injection sein: ein von den Entwicklern ausdrücklich genanntes Sicherheitsrisiko
- Shannon Lite ist ein White-Box-Tool: Zugriff auf das Quellcode-Repository erforderlich
Risiko von LLM-Halluzinationen
Offizieller Hinweis: LLMs können weiterhin halluzinieren, daher isteine manuelle Verifizierung der Rechtmäßigkeit und des Schweregrads aller Fundeerforderlich.
📝 Fazit
Shannon steht für ein gerade entstehendes Paradigma von Security-Tools:
- No PoC No Report: Meldung nur nach erfolgreichem Exploit
- 41.4K Stars: eines der populärsten Open-Source-Projekte im Security-Bereich
- XBOW-Benchmark 96.15%: White-Box-Erfolgsquote übertrifft kommerzielle Tools deutlich
- Fünfstufige Pipeline: Pre-Recon → Recon → Vuln → Exploit → Report
- 5 parallele Agenten: Injection, XSS, SSRF, Auth, Authz
- 50 USD pro Test, 1–1,5 Stunden: deutlich günstiger als manuelle Penetrationstests
- White-Box-Tool: erfordert Quellcodezugriff
Ohne PoC keine Meldung – Shannon macht Penetrationstests zu einem einzigen Befehl.
GitHub:https://github.com/KeygraphHQ/shannon
Website:https://keygraph.io