Shannon: herramienta de pentesting con IA, 41.4K estrellas
🤖 Shannon: herramienta de pentesting con IA de caja blanca, 41.4K estrellas, «No PoC No Report»
Shannones una herramienta de pentesting con IA de caja blanca y funcionamiento autónomo, centrada en aplicaciones web y APIs:
- 41.4K estrellas en GitHub: uno de los proyectos de seguridad más populares
- No PoC No Report: sin PoC no hay informe; cero falsos positivos
- 96.15% en el benchmark XBOW: una tasa de explotación que aplasta a las herramientas comerciales
- $50 por prueba: coste por prueba, informe en 1-1.5 horas
- Caja blanca: requiere acceso al código fuente; análisis estático + ataque dinámico
Esla capa de verificación dinámica de la cadena de herramientas de seguridad, y llena el hueco del pentesting tradicional.
🔍 ¿Por qué existe Shannon?
El problema del vacío de seguridad
Tu equipo usa herramientas de programación con IA ydespliega código cada día, pero el pentesting se haceuna vez al año: durante los364 días restantes hay un vacío de seguridad¿quién lo cubre?
- Los escáneres tradicionales: informan de un montón de vulnerabilidades «posibles» que el ingeniero debe verificar una a una
- El pentesting manual: semanas de trabajo y decenas de miles de dólares
- El vacío de seguridad: esos 364 días se pueden estar desplegando vulnerabilidades a producción
La respuesta de Shannon
La respuesta de Shannon: unagente de pentesting totalmente autónomo que lee el código fuente, maneja el navegador para atacar y no reporta si no logra entrar.
⚠️ No es un escáner: No Exploit, No Report
El primer paso para entender Shannon
Para entender Shannon, lo primero es saber quéno es:
- No es DAST: no es una herramienta de pruebas dinámicas de seguridad de aplicaciones
- No es SAST: no es una herramienta de pruebas estáticas de seguridad de aplicaciones
- No es coincidencia de patrones: no escanea patrones peligrosos conocidos
Las herramientas tradicionales son, en esencia,coincidencia de patrones: escanean el código o las respuestas HTTP buscando patrones peligrosos conocidos y sueltan una lista de «posibles vulnerabilidades».
El principio de diseño central de Shannon
El principio de diseño de Shannon cabe en una frase:«POC or it didn't happen» (sin PoC, no pasó):
| Característica | Descripción |
|---|---|
| Ataca de verdad | Automatiza el navegador para inyectar SQL, montar payloads XSS y enviar peticiones SSRF |
| Solo reporta lo explotado | solo las vulnerabilidades explotadas con éxito entran en el informe final |
| Incluye PoC listo para copiar | cada hallazgo llega con un PoC que puedes copiar y pegar tal cual |
| Los falsos positivos no entran | lo que no se puede explotar se marca como «falso positivo» o «potencial» y no entra en el informe |
Esto significa que el equipo de seguridad recibehallazgos verificados y reproducibles, uno por uno.
Prueba con OWASP Juice Shop
En el informe oficial sobreOWASP Juice Shop, Shannon encontrómás de 20 vulnerabilidades:
- Inyección SQL que salta la autenticación (crítica)
- Extracción de datos con UNION (crítica)
- SSRF (alta)
- XSS (alta)
- Varias omisiones de autorización (alta)
Conviene destacar que en otros dos objetivos, el XSS de Shannon tuvocero falsos positivos: identificó correctamente que esas aplicaciones tenían defensas XSS robustas y no reportó nada falso.
🔬 Arquitectura de canalización de 5 fases
Canalización de 5 fases + agentes en paralelo
La arquitectura de Shannon se resume en dos conceptos:la canalización de 5 fases y los agentes en paralelo:
| Fase | Nombre | Descripción |
|---|---|---|
| Fase 1 | Pre-Recon | Escaneo externo + análisis de código (Nmap, Subfinder, WhatWeb) |
| Fase 2 | Recon | Une el análisis estático y el dinámico: valida endpoints y mapea los flujos de autenticación |
| Fase 3 | Vulnerability Analysis | 5 agentes en paralelo, uno por categoría de vulnerabilidad |
| Fase 4 | Exploitation | 5 agentes en paralelo que ejecutan ataques reales |
| Fase 5 | Reporting | Genera un informe con calidad de pentesting profesional |
Motor de razonamiento subyacente
Shannon se basa enel Anthropic Claude Agent SDK con una configuración de tres modelos:
- Claude Haiku 4.5: resúmenes
- Claude Sonnet 4.6: análisis de seguridad
- Claude Opus 4.6: razonamiento profundo
📊 5 agentes en paralelo por categoría de vulnerabilidad
5 agentes de análisis independientes
Shannon arranca5 agentes de análisis independientes, cada uno a cargo de una categoría de vulnerabilidad:
| Agente | Método | Vulnerabilidades cubiertas |
|---|---|---|
| Injection | Taint tracking de fuente a sumidero | Inyección SQL, de comandos, de archivos, de plantillas y deserialización |
| XSS | Taint tracking de sumidero a fuente | Cross-site scripting en contextos de renderizado HTML |
| SSRF | Taint tracking de sumidero a fuente | Clientes HTTP, sockets crudos, abridores de URL |
| Auth | Validación con Guard | Controles de seguridad ausentes (rate limiting, gestión de sesiones, etc.) |
| Authz | Validación con Guard | Comprobaciones de autorización ausentes (horizontal, vertical, contextual) |
Los 5 agentesse ejecutan en paralelo sin bloquearse entre sí. Cuando cada agente de análisis termina, su agente de explotación arranca de inmediato.
Clasificación de las vulnerabilidades
El agente de explotación clasifica cada hallazgo entres estados:
- EXPLOITED (explotada): entra en el informe final
- POTENTIAL (potencial): no entra en el informe
- FALSE POSITIVE (falso positivo): no entra en el informe
SoloEXPLOITED entra en el informe final.
🔥 96.15% en el benchmark XBOW
El benchmark XBOW
Shannonen el benchmark XBOWobtuvo una96.15%tasa de éxito de explotación de 96.15% (100/104):
| Tipo de vulnerabilidad | Total | Éxitos | Tasa de éxito |
|---|---|---|---|
| Broken Authorization | 25 | 25 | 100% |
| SQL Injection | 7 | 7 | 100% |
| Blind SQL Injection | 3 | 3 | 100% |
| SSRF / Misconfiguration | 22 | 21 | 95.45% |
| XSS | 23 | 22 | 95.65% |
| Server-Side Template Injection | 13 | 12 | 92.31% |
| Command Injection | 11 | 10 | 90.91% |
| Total | 104 | 100 | 96.15% |
Condiciones de la prueba
- El benchmark XBOW: 104 aplicaciones con vulnerabilidades plantadas a propósito
- Versión limpiada: se quitaron nombres de variables, comentarios y pistas de rutas de archivos
- Modo caja blanca: Shannon puede acceder al código fuente de la aplicación
Comparación con herramientas comerciales
- Shannon: 96.15% (modo caja blanca)
- KinoSec: 92.3% (modo caja negra)
- Xfenser AI: 88.5%
- Plataforma comercial XBOW: alrededor de 85% (caja negra)
💰 Coste y primeros pasos
Coste
Un escaneo completo:
- Duración: 1-1.5 horas
- Coste de API: unos 50 USD (con Claude Sonnet 4.6)
- Rango: 40-55 USD, según precios de modelos y complejidad de la aplicación
ComparaciónEl pentesting manual tradicional: decenas de miles de dólares y semanas de trabajo por prueba.
Cómo empezar
Modo npx (recomendado, sin instalación):
# 一次性配置 npx @keygraph/shannon setup # 运行渗透测试 npx @keygraph/shannon start -u https://your-app.com -r /path/to/repo
Modo local (build completo):
# 克隆仓库 git clone https://github.com/KeygraphHQ/shannon.git cd shannon # 配置 API Key echo "ANTHROPIC_API_KEY=your-key" > .env # 安装和构建 pnpm install && pnpm build # 运行 ./shannon start -u https://your-app.com -r /path/to/repo
Requisitos previos
- Docker: runtime de contenedores
- Node.js 18+: entorno de ejecución
- Anthropic API Key: recomendada
- Acceso al código fuente: una herramienta de caja blanca lo necesita
🤝 Shannon Lite vs Shannon Pro
Las dos versiones
| Versión | Licencia | Orientación |
|---|---|---|
| Shannon Lite | AGPL-3.0 | Probar tus propias aplicaciones en local |
| Shannon Pro | Comercial | Plataforma AppSec para organizaciones (SAST + SCA + Pentest) |
Funciones de Shannon Pro
Shannon Proes una plataforma completa de seguridad de aplicaciones:
- Code Property Graph: motor de análisis estático
- Pruebas de seguridad de lógica de negocio: descubrimiento automatizado de invariantes
- Análisis de alcanzabilidad SCA: rastreo de la alcanzabilidad de CVEs
- Detección de secretos: regex + detección con LLM
- Correlación estático-dinámica: los hallazgos estáticos alimentan automáticamente el pentesting dinámico
- Integración CI/CD: escaneo de PRs de GitHub
⚠️ Precauciones de uso
Avisos importantes
- Nunca lo uses contra sistemas sin autorización: Shannon ejecuta ataques reales; escanear sin permiso es ilegal
- No lo ejecutes en producción: los ataques pueden causar daños
- El repositorio puede ser vulnerable a inyección de prompts: es un riesgo de seguridad que el propio proyecto reconoce
- Shannon Lite es una herramienta de caja blanca: necesita acceso al repositorio de código
Riesgo de alucinaciones del LLM
Aviso oficial: el LLM aún puede alucinar, así que hay queverificar a mano la legitimidad y gravedad de todos los hallazgos.
📝 Resumen
Shannon representa un nuevo paradigma de herramientas de seguridad que está tomando forma:
- No PoC No Report: solo reporta lo que explota con éxito
- 41.4K estrellas: el proyecto de seguridad de código abierto más popular
- 96.15% en XBOW: una tasa de éxito en caja blanca que aplasta a las herramientas comerciales
- Canalización de 5 fases: Pre-Recon → Recon → Vuln → Exploit → Report
- 5 agentes en paralelo: Injection, XSS, SSRF, Auth y Authz
- 50 USD y 1-1.5 horas por prueba: mucho más barato que el pentesting manual
- Herramienta de caja blanca: requiere acceso al código fuente
Sin PoC no hay informe: Shannon convierte el pentesting en un solo comando.
GitHub:https://github.com/KeygraphHQ/shannon
Sitio oficial:https://keygraph.io