Shannon: 41.4K Star White Box AI Osmosis Test Tool
🤖 Shannon: 41.4K Star White Box AI Osmosis Test Tool, Walang PoC Walang Report
Shannon.Isang autonomous white box AI injunction test tool para sa mga aplikasyon ng Web at API:
- 41.4K Mga Bituing GitHub: Isa sa pinakapopular na open source project sa security field
- Walang Ulat ng PoC: Walang PC
- XBOW benkmark 96.15%: Ginagamit ng mga Gap ang bilis ng tagumpay upang durugin ang komersiyal na mga kagamitan
- $50: isang halaga ng pagsubok, 1-1.5 oras na ulat
- Pagsubok sa White Box: kailangan ang source code access, source code analysis + dynamic attack
Ito ay...Dynamic verification layer sa kawing ng mga kasangkapang panseguridad, punan ang mga puwang sa tradisyunal na mga pagsubok sa pagpasok.
Bakit umiiral si Shannon?
Mga puwang sa seguridad
Ginagamit ng inyong pangkat ang kasangkapang AI programmingMga Kodigo na Ginagamit araw - arawSubalit mga pagsubok sa pagpasokMinsan sa isang taon.- Sa gitna.364 na araw ng seguridadSinong pupunan?
- Tradisyonal na mga scanner: ulat ng isang pangkat ng "possible" na mga butas, tinitiyak ng mga inhinyerong panseguridad ang bawat artikulo
- Manual injury tests: Mga linggo ng siklo, nagkakahalaga ng sampu - sampung libong dolyar sa Estados Unidos
- puwang sa seguridad: 364 katamtamang araw ang maaaring gamitin sa kapaligiran ng produksiyon
Ang sagot ni Shannon
Ang sagot ni Shannon ay isa.Maaari mong basahin ang pinagmulang kodigo, maaari mong pangasiwaan ang browser, hindi ka makapasok, hindi ka maaaring mag - ulat.Isa itong independiyenteng pagsubok.
⚠️Hindi Scanner: Walang Expluit, Walang Report
Unang hakbang sa pag - unawa kay Shannon
Ang unang hakbang upang maunawaan si Shannon ay linawin ito.Hindi ano?:
- Hindi, hindi ito totoo.: Hindi isang dinamikong kagamitang pansubok sa seguridad
- Hindi, SAST.: Hindi static appearance test tool
- Hindi Mode Match: Hindi sinusuri ang kilalang mga huwaran sa panganib
Ang tradisyunal na mga kagamitan ay talagang...Mode Match- Scan code o kilalang pattern ng panganib sa pagtugon ng HTTP, output isang listahan ng “ Perfect crains”.
Idisenyo ni Core ang mga simulain para kay Shannon
Ang pangunahing mga simulain ng disenyo ni Shannon ay binuod sa isang pangungusap:"POC o hindi nangyari"(Kung walang POC, ay hindi nangyayari):
| Mga Katangian | Mga Pahiwatig |
|---|---|
| Aktuwal na pagsalakay. | Automasyon ng SQL, pagtatayo ng XSS payload, pagpapadala ng mga kahilingan ng SSR sa browser |
| Tanging ang matagumpay na paggamit ang iniuulat. | Tanging ang matagumpay na mga tagumpay ang makapapasok sa pangwakas na ulat. |
| Isang Maluwag na Paste PoC | Ang bawat pagkakatuklas ay nagdadala ng kodigong POC na maaaring tuwirang kopyahin. |
| Walang maling positibong ulat. | Ang mga butas na hindi ginagamit ay minarkahan bilang “ false positive ” o “potential ” at hindi iniuulat |
Iyan ay nangangahulugan na nakuha ito ng pangkat na panseguridad.Ang bawat tuklas ay napatunayan, maaaring ulitin.Hindi ko alam.
OWASP Juice Shot Test
Opisyal na magagamitOWASP Juice ShotSa report ng pagsusuri, natuklasan ito ni Shannon.20+ Mga butas:
- SQL Pagturo ng Katotohanan sa paligid(Kritikal)
- UNION Sa pagtuturok ng pagkuha ng datos(Kritikal)
- SSTRF(High)
- XSS(High)
- Naharangan ang Multiple pinahihintulutan(High)
Magandang pansinin na ang XSS test ni Shannon sa dalawa pang target ng pagsubok.Maging positibo.- Ito ay tumpak na nagpapakilala sa mga aplikasyong ito sa pamamagitan ng matipunong mga depensa ng XS, nang walang maling pag-aangkat.
Limang-phase pipe structure
Limang-stage pipe + higit pang Agent parallel
Ang teknikal na arkitektura ni Shannon ay may dalawang susing salita:Limang-stage pipe.atPagkakatulad ng MultiAgent:
| Bilis | Pangalan | Mga Pahiwatig |
|---|---|---|
| Phase 1 | Pre-Recon | External scan + source code analysis (Nmap, Subfinder, WhatWeb) |
| Phase 2 | Recon. | Bridge static and dynamic analysis, adventation of endpoints, proseso ng pag - aayos ng mapagkakatiwalaang proseso |
| Phase 3 | Pagsusuri sa Pagiging Vulnerable | 5 parallel Agent, bawat isa'y may pananagutan sa isang uri ng loophole |
| Phase 4 | Pag - aalis | 5 parallel Agent, tunay na pag-atake. |
| Phase 5 | Nag - uulat | Ang Generate na pagpapatupad ay nag - uulat sa antas ng pagsubok na hindi napapasok |
Ibabang Kasangkapang Logic
Si Shannon batay saAuthropic Claude Agent SDK, na may tatlong-layer na modelong pagsasaayos:
- Claude Huku 4.5.: Sumaryo
- Claude Sonet 4.6.: Pagsusuri sa seguridad
- Claude Opus 4.6.: Matinding pangangatuwiran
📊5 Klaseng Gap Parallel
5 Personal na Pagsusuri
Shannon, magsimula nang sabay - sabay.5 Personal na PagsusuriAng bawat isa ay may pananagutan sa isang uri ng butas:
| Ahente. | Pamamaraan | Overwrite Hole |
|---|---|---|
| Organisyon | Pinagmulan & Sink | SQL/utos/file/template/recalulation |
| XSS | Sinink→Source | HTML na nagsasalin ng mga cross-stop script sa konteksto |
| SSTRF | Sinink→Source | Detektor ng HTTP, orihinal na socket, URL opener |
| Ang Auth | Ingatan ang Pagiging Totoo | Nawawalang mga kontrol sa seguridad (pinaikling mga limitasyon, pangangasiwa sa sesyon, atbp.) |
| Anothz | Ingatan ang Pagiging Totoo | Nawawalang pahintulot na tseke (horizontal/vertical/textual) |
5 Mga AhenteTumakbong magkasamaHuwag harangan ang isa't isa. Bawat Ahente ng pagsusuri ay nakukumpleto at ang katumbas na gamit na Agent ay agad na pinakikilos.
Kalagayan ng pag - uuri sa mga baka
Gawing Kategorya ang bawat tuklas na ginagamit ang Ahente bilang AhenteTatlong estado:
- EXPLOITED(dating): Makakakuha ng huling ulat
- MAHIRAP(kahulugan): Huwag pumasok sa ulat
- MAHAHALAGANG HALAGA( Maling positibo): huwag pumasok sa ulat
Tanging angEXPLOITEDIpasok ang huling report.
XBOW benkmark 96.15%
Pagsubok sa XBOW Baseline
Nandito si Shannon.XBOW baselineHinango.96.15%Narito ang ilan sa mga sumusunod:
| Uri ng manok | Kabuuan | Tagumpay | Tagumpay |
|---|---|---|---|
| Nasirang Kasama | 25 | 25 | 100% |
| SQL Investment | 7 | 7 | 100% |
| Di - namamalayang Pag - abuso sa SQL | 3 | 3 | 100% |
| Ang Pagkabigo at Maling Pag - unawa | 22 | 21 | 95.45% |
| XSS | 23 | 22 | 95.65% |
| Injection ng server-Side | 13 | 12 | 92.31% |
| Karaniwang Pagkainggit | 11 | 10 | 90.91% |
| Kabuuan | 104 | 100 | 96.15% |
Paglalarawan sa mga kalagayan ng pagsubok
- XBOW baseline: 104 na gamit na sadyang lumilikha ng mga butas
- Malinis na Bersiyon: Iba - iba ang pangalan, sabi ng talaksang dulo ng path na inalis
- Mode ng White Box: Maaaring gamitin ni Shannon ang angkop na source code
Paghahambing sa komersiyal na mga kagamitan
- Shannon.96.15% (white box mode)
- KinoSec: 92.3% (black box mode)
- Xfenser AI88.5%
- XBOW Commercial Platform: Halos 85% (maitim na kahon)
Halaga at kasanayan
Halaga
Walang Asawang Buong Scan:
- Oras-consuming: 1-1.5 oras
- Halaga ng API: Mga $50 USD (bababa sa Claude Sonet 4.6)
- Ispe: $40-55, depende sa kasalimuutan ng model prioning at application degrees
PaghahambingTradisyonal na mga pagsubok sa pagpasokSampung libong dolyar sa isang panahon, ilang linggo.
Kung paano ito gagawin.
" npx mode "(Isinilang, sero na instalasyon):
# 一次性配置 npx @keygraph/shannon setup # 运行渗透测试 npx @keygraph/shannon start -u https://your-app.com -r /path/to/repo
Lokal na Mode( May kahusayang itinayo):
# 克隆仓库 git clone https://github.com/KeygraphHQ/shannon.git cd shannon # 配置 API Key echo "ANTHROPIC_API_KEY=your-key" > .env # 安装和构建 pnpm install && pnpm build # 运行 ./shannon start -u https://your-app.com -r /path/to/repo
Pag - iingat
- Docker.: Kapag tumatakbo ang lalagyan
- Node.js 18+: kapaligiran ng pagpapatakbo
- Mahalagang API: Mungkahi
- Pinagkukunan: puting kagamitan sa kahon na kailangan
Si Shannon Lite vs Shannon Pro
Dalawang bersyon
| Bersiyon | Pagiging Makatuwiran | Paglalagay |
|---|---|---|
| Lite ng Shannon | AGPL - 3.0 | Suriin sa lokal na paraan ang iyong aplikasyon |
| Si Shannon Pro | Komersiyal | Bulwagang pang-organisasyon AppSec (SAST+SCA+Pentest) |
Ang Shannon Pro function
Si Shannon ProIsa itong ganap na functional security platform:
- Graph ng mga Pag - aari sa Kodigo: Kasangkapan ng Static Analysis
- Mga pagsubok sa seguridad sa negosyo: Automasyon non-variant na tuklas
- Pagsusuri sa Pagiging Madaling Mabili: Pagsubaybay sa CVE Accessility
- Lihim na pagsubok.: Regular na + PLM test
- " Static - Dynamic Link ": Ang natuklasang smatic ay awtomatikong nakarating sa dinamikong pagpasok
- Paglipat ng CI/CD: GitHub PR scan
Paggamit ng atensiyon
Mahalagang Babala
- Huwag kailanman gumamit ng di - awtorisadong mga sistema."Ang Shannon ay magsasagawa ng tunay na pag-atake. Ang hindi awtorisadong scanning ay ilegal."
- Ang pagpapaandar sa kapaligiran ng produksiyon ay hindi inirerekomenda: Ang pagsalakay ay maaaring magkaroon ng mapangwasak na mga epekto
- Ang repositoryo ay maaaring magturo ng mga pahiwatig ng AI: Ito ay isang opisyal na kinikilalang panganib sa seguridad
- Shannon Ang Lite ay isang kasangkapan sa puting kahonIba Pang Organiser
Panganib ng guniguni
Opisyal na exoneration: Ang LLM ay maaaring nag - iisip pa rin at nangangailanganLubusang tiyakin ang pagiging legal at kalubhaan ng lahat ng tuklasHindi ko alam.
Sumaryo
Si Shannon ay kumakatawan sa isang kagamitang panseguridad na evolving paradigm:
- Walang Ulat ng PoC No: Nag - uulat lamang para sa matagumpay na gamit
- 41.4K Bituin: Ang pinakapopular na proyekto ng opensource sa larangan ng seguridad
- XBOW benkmark 96.15%: Pagsusuri ng tagumpay ang kagamitang pangnegosyo para sa puting kahon
- Limang-stage pipe: Pre-Recon →Recon →Vuln →Expluit →Report
- Kahawig na Kategorya 5
- 50, 1-1.5 oras: mas mababa ang halaga kaysa sa mga manu - manong pagsubok sa pagpasok
- Kasangkapan ng White Box: Kailangan ang paraan ng pagkuha ng basura
Walang POC ang hindi nag-uulat, si Shannon ay gumagawa sa pagpasok ng order.
GitHub:Mga http://github.com/KeygraphHQ/channon
Network ng mga opisyal:https://keygraph.io