Shannon: Alat Pengujian Penetrasi AI White-box dengan 41.4K Star
🤖 Shannon: Alat Pengujian Penetrasi AI White-box 41.4K Star, No PoC No Report
Shannonadalah alat pengujian penetrasi AI white-box yang berjalan otonom, menyasar aplikasi Web dan API:
- 41.4K GitHub Stars: salah satu proyek open source paling populer di bidang keamanan
- No PoC No Report: tanpa PoC tidak ada laporan, nol false positive
- Benchmark XBOW 96.15%: tingkat keberhasilan eksploitasi mengalahkan alat komersial
- $50 per pengujian: biaya satu kali pengujian, laporan selesai dalam 1-1,5 jam
- Pengujian white-box: membutuhkan akses kode sumber, analisis kode + serangan dinamis
Ini adalahlapisan verifikasi dinamis dalam toolchain keamanan, mengisi celah dalam pengujian penetrasi tradisional.
🔍 Mengapa Shannon Ada?
Masalah Celah Keamanan
Tim Anda menggunakan alat pemrograman AImenyebarkan kode setiap hari, tetapi pengujian penetrasihanya dilakukan sekali setahun—di sela-selanya adacelah keamanan selama 364 harisiapa yang mengisinya?
- Scanner tradisional: melaporkan banyak kerentanan yang 'mungkin ada', lalu insinyur keamanan memverifikasinya satu per satu
- Pengujian penetrasi manual: siklusnya berminggu-minggu, biayanya puluhan ribu dolar
- Celah keamanan: selama 364 hari di antaranya, kerentanan bisa saja terus diterapkan ke lingkungan produksi
Jawaban Shannon
Jawaban dari Shannon: sebuahagent pengujian penetrasi sepenuhnya otonom yang mampu membaca kode sumber, mengoperasikan sendiri browser untuk melancarkan serangan, dan tidak melaporkan apa pun bila gagal menembus.
⚠️ Bukan Scanner: No Exploit, No Report
Langkah Pertama Memahami Shannon
Langkah pertama memahami Shannon adalah memperjelas apa yangbukan:
- Bukan DAST: bukan alat pengujian keamanan aplikasi dinamis
- Bukan SAST: bukan alat pengujian keamanan aplikasi statis
- Bukan pencocokan pola: bukan pemindaian pola berbahaya yang sudah dikenal
Pada dasarnya alat tradisional adalahpencocokan pola—memindai pola berbahaya yang dikenal dalam kode atau respons HTTP, lalu menghasilkan daftar 'dugaan kerentanan'.
Prinsip Desain Inti Shannon
Prinsip desain inti Shannon dirangkum dalam satu kalimat:"POC or it didn't happen"(tanpa PoC berarti tidak pernah terjadi):
| Fitur | Penjelasan |
|---|---|
| Benar-benar melancarkan serangan | Menyuntikkan SQL, menyusun payload XSS, dan mengirim permintaan SSRF melalui otomasi browser |
| Hanya melaporkan eksploitasi yang berhasil | Hanya kerentanan yang berhasil dieksploitasi yang masuk ke laporan akhir |
| Menyertakan PoC siap salin-tempel | Setiap temuan disertai kode PoC yang dapat langsung disalin-tempel |
| False positive tidak masuk laporan | Kerentanan yang tidak dapat dieksploitasi ditandai sebagai 'false positive' atau 'potensial' dan tidak masuk laporan |
Ini berarti setiap temuan yang diterima tim keamanantelah terverifikasi dan dapat direproduksi.
Pengujian OWASP Juice Shop
Dalam laporan pengujian resmiOWASP Juice Shop, Shannon menemukan20+ kerentanan:
- Bypass autentikasi via SQL injection(Kritis)
- Ekstraksi data via UNION injection(Kritis)
- SSRF(Tinggi)
- XSS(Tinggi)
- Berbagai bypass otorisasi(Tinggi)
Perlu dicatat, pada dua target uji lainnya, deteksi XSS Shannonmemiliki nol false positive—ia dengan tepat mengenali bahwa aplikasi-aplikasi tersebut memiliki pertahanan XSS yang kuat, tanpa satu pun laporan salah.
🔬 Arsitektur Pipeline Lima Tahap
Pipeline lima tahap + multi-Agent paralel
Arsitektur teknis Shannon memiliki dua kata kunci:pipeline lima tahapdanmulti-Agent paralel:
| Tahap | Nama | Penjelasan |
|---|---|---|
| Tahap 1 | Pre-Recon | Pemindaian eksternal + analisis kode sumber (Nmap, Subfinder, WhatWeb) |
| Tahap 2 | Recon | Menjembatani analisis statis dan dinamis, memverifikasi endpoint, memetakan alur autentikasi |
| Tahap 3 | Vulnerability Analysis | 5 agent paralel, masing-masing menangani satu kategori kerentanan |
| Tahap 4 | Exploitation | 5 agent paralel, melaksanakan serangan nyata |
| Tahap 5 | Reporting | Menghasilkan laporan eksekusi setara pengujian penetrasi |
Mesin Penalaran di Lapisan Bawah
Shannon dibangun di atasAnthropic Claude Agent SDK, dengan konfigurasi model tiga lapis:
- Claude Haiku 4.5: peringkasan
- Claude Sonnet 4.6: analisis keamanan
- Claude Opus 4.6: penalaran mendalam
📊 5 Agent Paralel untuk 5 Kategori Kerentanan
5 agent analisis independen
Shannon menjalankan secara bersamaan5 agent analisis independen, masing-masing bertanggung jawab atas satu kategori kerentanan:
| Agent | Metode | Kerentanan yang Dicakup |
|---|---|---|
| Injection | Pelacakan taint Source→Sink | Injeksi SQL/perintah/file/template/deserialisasi |
| XSS | Pelacakan taint Sink→Source | Cross-site scripting dalam konteks rendering HTML |
| SSRF | Pelacakan taint Sink→Source | Klien HTTP, socket mentah, pembuka URL |
| Auth | Verifikasi Guard | Kontrol keamanan yang hilang (rate limiting, manajemen sesi, dll.) |
| Authz | Verifikasi Guard | Pemeriksaan otorisasi yang hilang (horizontal/vertikal/kontekstual) |
Kelima agentberjalan secara paralel, tanpa saling memblokir. Begitu setiap agent analisis selesai, agent eksploitasi yang sesuai langsung dimulai.
Status Klasifikasi Kerentanan
Agent eksploitasi mengklasifikasikan setiap temuan ke dalamtiga status:
- EXPLOITED(tereksploitasi): masuk ke laporan akhir
- POTENTIAL(potensial): tidak masuk laporan
- FALSE POSITIVE(false positive): tidak masuk laporan
HanyaEXPLOITEDyang masuk ke laporan akhir.
🔥 Benchmark XBOW 96.15%
Benchmark XBOW
Padabenchmark XBOW, Shannon meraih96.15%tingkat keberhasilan eksploitasi (100/104):
| Jenis Kerentanan | Total | Berhasil | Tingkat Keberhasilan |
|---|---|---|---|
| Broken Authorization | 25 | 25 | 100% |
| SQL Injection | 7 | 7 | 100% |
| Blind SQL Injection | 3 | 3 | 100% |
| SSRF / Misconfiguration | 22 | 21 | 95.45% |
| XSS | 23 | 22 | 95.65% |
| Server-Side Template Injection | 13 | 12 | 92.31% |
| Command Injection | 11 | 10 | 90.91% |
| Total | 104 | 100 | 96.15% |
Keterangan Kondisi Pengujian
- Benchmark XBOW: 104 aplikasi dengan kerentanan yang sengaja ditanam
- Versi yang dibersihkan: nama variabel, komentar, dan petunjuk jalur file dihapus
- Mode white-box: Shannon dapat mengakses kode sumber aplikasi
Perbandingan dengan Alat Komersial
- Shannon: 96.15% (mode white-box)
- KinoSec: 92.3% (mode black-box)
- Xfenser AI: 88.5%
- Platform komersial XBOW: sekitar 85% (black-box)
💰 Biaya dan Cara Memulai
Biaya
Satu pemindaian lengkap:
- Waktu: 1-1,5 jam
- Biaya API: sekitar $50 USD (berbasis Claude Sonnet 4.6)
- Rentang: $40-55, tergantung harga model dan kompleksitas aplikasi
Bandingkan denganpengujian penetrasi manual tradisional: sekali uji puluhan ribu dolar dan memakan waktu berminggu-minggu.
Cara Memulai
Mode npx(direkomendasikan, tanpa instalasi):
# 一次性配置 npx @keygraph/shannon setup # 运行渗透测试 npx @keygraph/shannon start -u https://your-app.com -r /path/to/repo
Mode lokal(build lengkap):
# 克隆仓库 git clone https://github.com/KeygraphHQ/shannon.git cd shannon # 配置 API Key echo "ANTHROPIC_API_KEY=your-key" > .env # 安装和构建 pnpm install && pnpm build # 运行 ./shannon start -u https://your-app.com -r /path/to/repo
Prasyarat
- Docker: runtime kontainer
- Node.js 18+: lingkungan eksekusi
- Anthropic API Key: direkomendasikan
- Akses kode sumber: kebutuhan wajib alat white-box
🤝 Shannon Lite vs Shannon Pro
Dua Versi
| Versi | Lisensi | Posisi |
|---|---|---|
| Shannon Lite | AGPL-3.0 | Menguji aplikasi sendiri secara lokal |
| Shannon Pro | Komersial | Platform AppSec tingkat organisasi (SAST + SCA + Pentest) |
Fitur Shannon Pro
Shannon Proadalah platform keamanan aplikasi berfitur lengkap:
- Code Property Graph: mesin analisis statis
- Pengujian keamanan logika bisnis: penemuan invarian otomatis
- Analisis keterjangkauan SCA: pelacakan keterjangkauan CVE
- Deteksi secrets: deteksi regex + LLM
- Korelasi statis-dinamis: temuan statis otomatis dialirkan ke penetrasi dinamis
- Integrasi CI/CD: pemindaian PR GitHub
⚠️ Perhatian Penggunaan
Peringatan Penting
- Jangan pernah digunakan pada sistem tanpa izin: Shannon melancarkan serangan nyata; pemindaian tanpa otorisasi adalah tindakan ilegal
- Tidak disarankan dijalankan di lingkungan produksi: aktivitas serangan dapat menimbulkan dampak yang merusak
- Repositori bisa mengandung prompt injection terhadap AI: ini adalah risiko keamanan yang secara eksplisit dicantumkan secara resmi
- Shannon Lite adalah alat white-box: membutuhkan akses ke repositori kode sumber
Risiko halusinasi LLM
Penafian resmi: LLM masih dapat berhalusinasi, sehinggadiperlukan verifikasi manusia atas keabsahan dan tingkat keparahan semua temuan.
📝 Kesimpulan
Shannon merepresentasikan paradigma alat keamanan yang sedang terbentuk:
- No PoC No Report: hanya eksploitasi yang berhasil yang dilaporkan
- 41.4K Stars: proyek open source paling populer di bidang keamanan
- Benchmark XBOW 96.15%: tingkat keberhasilan white-box mengalahkan alat komersial
- Pipeline lima tahap: Pre-Recon → Recon → Vuln → Exploit → Report
- 5 agent paralel: Injection, XSS, SSRF, Auth, Authz
- $50 per pengujian, 1-1,5 jam: biaya jauh lebih rendah daripada pengujian penetrasi manual
- Alat white-box: membutuhkan akses kode sumber
Tanpa PoC tidak ada laporan; Shannon mengubah pengujian penetrasi menjadi satu perintah.
GitHub:https://github.com/KeygraphHQ/shannon
Situs resmi:https://keygraph.io