Shannon : l'outil de pentest IA white-box à 41,4 K étoiles
🤖 Shannon : l'outil de pentest IA white-box à 41,4 K étoiles, No PoC No Report
Shannonest un outil de pentest IA white-box autonome, ciblant les applications web et les API :
- 41.4K GitHub Stars : l'un des projets open source les plus populaires du domaine de la sécurité
- No PoC No Report : pas de rapport sans PoC, zéro faux positif
- 96,15 % au benchmark XBOW : un taux de réussite d'exploitation qui écrase les outils commerciaux
- 50 $ par test : coût d'un test unique, rapport en 1 à 1,5 heure
- Test white-box : accès au code source requis, analyse du code + attaques dynamiques
C'est la couche de vérification dynamique de la chaîne d'outils de sécurité, qui comble le vide laissé par les tests d'intrusion traditionnels.
🔍 Pourquoi Shannon existe-t-il ?
Le problème du trou de sécurité
Votre équipe code avec des outils de développement IA et déploie du code chaque jour, mais les tests d'intrusion n'ont lieu qu'une fois par an — dans l'intervalle, le trou de sécurité de 364 jours entre les deux, qui vient le combler ?
- Scanners traditionnels : ils signalent un tas de failles « potentielles » que les ingénieurs sécurité doivent vérifier une par une
- Tests d'intrusion manuels : plusieurs semaines de délai et des dizaines de milliers de dollars de coût
- Trou de sécurité : pendant ces 364 jours, on peut être en train de déployer des failles directement en production
La réponse de Shannon
À cette question, Shannon répond : un agent qui lit le code source, pilote lui-même un navigateur pour lancer des attaques et ne fait aucun rapport s'il ne parvient pas à pénétrer.
⚠️ Ce n'est pas un scanner : No Exploit, No Report
La première étape pour comprendre Shannon
La première étape pour comprendre Shannon consiste à définir ce qu'il n'est pas :
- Ce n'est pas un DAST : pas un outil de test dynamique de sécurité applicative
- Ce n'est pas un SAST : pas un outil de test statique de sécurité applicative
- Ce n'est pas du pattern matching : pas un scanner de motifs dangereux connus
Les outils traditionnels reposent au fond sur du pattern matching : ils scannent le code ou les réponses HTTP à la recherche de motifs dangereux connus et ressortent une liste de « failles suspectées ».
Le principe de conception central de Shannon
Le principe de conception central de Shannon tient en une phrase : « POC or it didn't happen » (pas de PoC, donc rien ne s'est produit) :
| Caractéristique | Description |
|---|---|
| Attaques réellement lancées | injections SQL, charges utiles XSS et requêtes SSRF via l'automatisation du navigateur |
| Rapport uniquement après exploitation réussie | seules les failles effectivement exploitées entrent dans le rapport final |
| PoC prêt à copier-coller fourni | chaque découverte est accompagnée d'un code PoC directement copiable-collable |
| Pas de faux positifs dans le rapport | les failles non exploitables sont marquées « faux positif » ou « potentiel » et n'entrent pas dans le rapport |
Cela signifie que l'équipe sécurité reçoit des découvertes toutes vérifiées et reproductibles.
Test sur OWASP Juice Shop
Dans le rapport de test officiel sur OWASP Juice Shop, Shannon a découvert plus de 20 failles :
- Contournement d'authentification par injection SQL (Critique)
- Extraction de données par injection UNION (Critique)
- SSRF(Élevé)
- XSS(Élevé)
- Plusieurs contournements d'autorisation (Élevé)
Fait notable : sur deux autres cibles de test, la détection XSS de Shannon affiche zéro faux positif : il a correctement identifié que ces applications disposaient de défenses XSS robustes, sans signaler d'erreur à tort.
🔬 Architecture en pipeline à cinq étapes
Pipeline à cinq étapes + agents en parallèle
L'architecture technique de Shannon tient en deux mots-clés : pipeline à cinq étapes et agents en parallèle :
| Étape | Nom | Description |
|---|---|---|
| Étape 1 | Pre-Recon | scan externe + analyse du code source (Nmap, Subfinder, WhatWeb) |
| Étape 2 | Recon | fait le pont entre analyse statique et analyse dynamique, valide les points d'accès et cartographie les flux d'authentification |
| Étape 3 | Vulnerability Analysis | 5 agents en parallèle, chacun responsable d'une catégorie de failles |
| Étape 4 | Exploitation | 5 agents en parallèle, qui exécutent de vraies attaques |
| Étape 5 | Reporting | génère un rapport d'exécution de niveau pentest |
Moteur d'inférence sous-jacent
Shannon repose sur l'Anthropic Claude Agent SDK, avec une configuration à trois niveaux de modèles :
- Claude Haiku 4.5 : résumés
- Claude Sonnet 4.6 : analyse de sécurité
- Claude Opus 4.6 : raisonnement approfondi
📊 5 agents en parallèle pour 5 catégories de failles
5 agents d'analyse indépendants
Shannon lance simultanément 5 agents d'analyse indépendants, chacun chargé d'une catégorie de failles :
| Agent | Méthode | Failles couvertes |
|---|---|---|
| Injection | suivi de flux de données Source→Sink (taint tracking) | injections SQL / commandes / fichiers / templates / désérialisation |
| XSS | suivi de flux Sink→Source (taint tracking) | cross-site scripting dans les contextes de rendu HTML |
| SSRF | suivi de flux Sink→Source (taint tracking) | clients HTTP, sockets bruts, ouvreurs d'URL |
| Auth | validation par Guard | contrôles de sécurité absents (rate limiting, gestion de sessions, etc.) |
| Authz | validation par Guard | vérifications d'autorisation manquantes (horizontale / verticale / contextuelle) |
Les 5 agents tournent en parallèle, sans se bloquer mutuellement. Dès qu'un agent d'analyse termine, l'agent d'exploitation correspondant démarre immédiatement.
Statuts de classification des failles
Les agents d'exploitation classent chaque découverte en trois statuts :
- EXPLOITED (exploitée) : entre dans le rapport final
- POTENTIAL (potentielle) : n'entre pas dans le rapport
- FALSE POSITIVE (faux positif) : n'entre pas dans le rapport
Seul le statut EXPLOITEDdonne accès au rapport final.
🔥 96,15 % au benchmark XBOW
Le benchmark XBOW
Sur le benchmark XBOW, Shannon affiche 96.15%un taux de réussite d'exploitation de 96,15 % (100/104) :
| Type de faille | Total | Réussites | Taux de réussite |
|---|---|---|---|
| Broken Authorization | 25 | 25 | 100% |
| SQL Injection | 7 | 7 | 100% |
| Blind SQL Injection | 3 | 3 | 100% |
| SSRF / Misconfiguration | 22 | 21 | 95.45% |
| XSS | 23 | 22 | 95.65% |
| Server-Side Template Injection | 13 | 12 | 92.31% |
| Command Injection | 11 | 10 | 90.91% |
| Total | 104 | 100 | 96.15% |
Conditions du test
- Benchmark XBOW : 104 applications volontairement vulnérables
- Versions nettoyées : noms de variables, commentaires et indices de chemins de fichiers supprimés
- Mode white-box : Shannon peut accéder au code source de l'application
Comparaison avec les outils commerciaux
- Shannon : 96,15 % (mode white-box)
- KinoSec : 92,3 % (mode black-box)
- Xfenser AI : 88,5 %
- Plateforme commerciale XBOW : environ 85 % (black-box)
💰 Coûts et prise en main
Coûts
Scan complet unique :
- Durée : 1 à 1,5 heure
- Coût API : environ 50 $ USD (basé sur Claude Sonnet 4.6)
- Fourchette : 40-55 $, selon la tarification du modèle et la complexité de l'application
Comparaisonun pentest manuel traditionnel : des dizaines de milliers de dollars et plusieurs semaines pour une seule opération.
Prise en main
Mode npx (recommandé, sans installation) :
# 一次性配置 npx @keygraph/shannon setup # 运行渗透测试 npx @keygraph/shannon start -u https://your-app.com -r /path/to/repo
Mode local (build complet) :
# 克隆仓库 git clone https://github.com/KeygraphHQ/shannon.git cd shannon # 配置 API Key echo "ANTHROPIC_API_KEY=your-key" > .env # 安装和构建 pnpm install && pnpm build # 运行 ./shannon start -u https://your-app.com -r /path/to/repo
Prérequis
- Docker : runtime de conteneurs
- Node.js 18+ : environnement d'exécution
- Anthropic API Key : recommandé
- Accès au code source : indispensable pour un outil white-box
🤝 Shannon Lite vs Shannon Pro
Deux versions
| Version | Licence | Positionnement |
|---|---|---|
| Shannon Lite | AGPL-3.0 | tester ses propres applications en local |
| Shannon Pro | commercial | plateforme AppSec organisationnelle (SAST + SCA + Pentest) |
Fonctionnalités de Shannon Pro
Shannon Proest une plateforme de sécurité applicative complète :
- Code Property Graph : moteur d'analyse statique
- Tests de sécurité de la logique métier : découverte automatisée d'invariants
- Analyse d'atteignabilité SCA : suivi de l'atteignabilité des CVE
- Détection de secrets : détection par expressions régulières + LLM
- Corrélation statique-dynamique : les découvertes statiques alimentent automatiquement le pentest dynamique
- Intégration CI/CD : scan des pull requests GitHub
⚠️ Précautions d'usage
Avertissements importants
- Ne jamais l'utiliser sur des systèmes non autorisés : Shannon exécute de vraies attaques, scanner sans autorisation est illégal
- Déconseillé en environnement de production : les attaques peuvent avoir des effets destructeurs
- Le dépôt peut être exposé à l'injection de prompts IA : c'est un risque de sécurité explicitement listé par l'éditeur
- Shannon Lite est un outil white-box : l'accès au dépôt de code source est requis
Risque d'hallucinations des LLM
Avertissement officiel : les LLM peuvent toujours halluciner, une vérification humaine de la légitimité et de la criticité de chaque découverte reste nécessaire.
📝 En résumé
Shannon incarne un paradigme d'outil de sécurité en train de se dessiner :
- No PoC No Report : rapport uniquement après exploitation réussie
- 41,4 K étoiles : l'un des projets open source les plus populaires de la sécurité
- 96,15 % au benchmark XBOW : un taux de réussite white-box qui écrase les outils commerciaux
- Pipeline à cinq étapes : Pre-Recon → Recon → Vuln → Exploit → Report
- 5 agents en parallèle : Injection, XSS, SSRF, Auth, Authz
- 50 $ par test, 1 à 1,5 heure : un coût bien inférieur à celui d'un pentest manuel
- Outil white-box : accès au code source requis
Pas de PoC, pas de rapport : Shannon réduit le test d'intrusion à une simple commande.
GitHub :https://github.com/KeygraphHQ/shannon
Site officiel :https://keygraph.io