Shannon: lo strumento AI di penetration testing white-box con 41,4K star
🤖 Shannon: strumento AI di penetration testing white-box con 41,4K star, No PoC No Report
Shannon è uno strumento AI di penetration testing white-box che opera in autonomia, dedicato ad applicazioni web e API:
- 41.4K GitHub Stars: uno dei progetti open source più popolari nel campo della sicurezza
- No PoC No Report: nessun report senza PoC, zero falsi positivi
- 96,15% al benchmark XBOW: un tasso di successo negli exploit che supera di gran lunga gli strumenti commerciali
- $50 a test: costo per singolo test, report in 1-1,5 ore
- Test white-box: richiede l'accesso al codice sorgente, analisi del codice + attacchi dinamici
È il livello di verifica dinamica della toolchain di sicurezza, che colma una lacuna del penetration testing tradizionale.
🔍 Perché esiste Shannon?
Il problema del vuoto di sicurezza
Il tuo team usa strumenti di programmazione AI e fa il deploy del codice ogni giorno, ma il penetration testing viene fatto una volta l'anno — in mezzo ci sono 364 giorni di vuoto di sicurezzaChi li riempie?
- Scanner tradizionali: segnalano un mucchio di vulnerabilità «possibili», che gli ingegneri di sicurezza devono verificare una a una
- Penetration testing manuale: settimane di lavoro e decine di migliaia di dollari
- Vuoto di sicurezza: nei 364 giorni intermedi si potrebbero stare distribuendo vulnerabilità in produzione
La risposta di Shannon
La risposta di Shannon è: un capace di leggere il codice sorgente, di manovrare da solo il browser per lanciare gli attacchi e di non segnalare nulla se l'attacco non va a segno — agente di penetration testing completamente autonomo.
⚠️ Non è uno scanner: No Exploit, No Report
Il primo passo per capire Shannon
Il primo passo per capire Shannon è chiarire cosanon è:
- Non è un DAST: non è uno strumento di test di sicurezza dinamico delle applicazioni
- Non è un SAST: non è uno strumento di test di sicurezza statico delle applicazioni
- Non è pattern matching: non cerca pattern pericolosi già noti
Gli strumenti tradizionali sono in sostanza pattern matching: analizzano codice o risposte HTTP alla ricerca di pattern pericolosi noti e producono un elenco di «possibili vulnerabilità».
Il principio di design centrale di Shannon
Il principio di design centrale di Shannon si riassume in una frase:«POC or it didn't happen» (senza PoC è come se non fosse successo):
| Caratteristica | Descrizione |
|---|---|
| Lancia attacchi reali | tramite l'automazione del browser inietta SQL, costruisce payload XSS e invia richieste SSRF |
| Riporta solo exploit riusciti | solo le vulnerabilità sfruttate con successo entrano nel report finale |
| PoC pronto da copiare e incollare | ogni segnalazione è accompagnata da codice PoC immediatamente riutilizzabile |
| I falsi positivi restano fuori dal report | le vulnerabilità non sfruttabili vengono marcate come «falsi positivi» o «potenziali» e non entrano nel report |
Questo significa che il team di sicurezza riceve solosegnalazioni verificate e riproducibili.
Test su OWASP Juice Shop
Nel report di test ufficiale su OWASP Juice Shop, Shannon ha individuato oltre 20 vulnerabilità:
- Bypass dell'autenticazione tramite SQL injection (Critical)
- Estrazione di dati con UNION injection (Critical)
- SSRF (High)
- XSS (High)
- Diversi bypass di autorizzazione (High)
Vale la pena notare che, sugli altri due obiettivi di test, il rilevamento XSS di Shannon ha avuto zero falsi positivi: ha riconosciuto correttamente che queste applicazioni avevano difese XSS robuste, senza generare falsi allarmi.
🔬 Architettura a pipeline in cinque fasi
Pipeline in cinque fasi + più agent in parallelo
L'architettura tecnica di Shannon si riassume in due parole chiave: pipeline in cinque fasi e più agent in parallelo:
| Fase | Nome | Descrizione |
|---|---|---|
| Fase 1 | Pre-Recon | scansione esterna + analisi del codice sorgente (Nmap, Subfinder, WhatWeb) |
| Fase 2 | Recon | collega analisi statica e dinamica, verifica gli endpoint, mappa i flussi di autenticazione |
| Fase 3 | Vulnerability Analysis | 5 agent in parallelo, ognuno dedicato a una categoria di vulnerabilità |
| Fase 4 | Exploitation | 5 agent in parallelo che eseguono attacchi reali |
| Fase 5 | Reporting | genera un report di esecuzione a livello di penetration testing |
Motore di inferenza sottostante
Shannon si basa sull'Anthropic Claude Agent SDK, con una configurazione dei modelli su tre livelli:
- Claude Haiku 4.5: riepiloghi
- Claude Sonnet 4.6: analisi di sicurezza
- Claude Opus 4.6: ragionamento approfondito
📊 5 agent in parallelo per 5 categorie di vulnerabilità
5 agent di analisi indipendenti
Shannon avvia contemporaneamente 5 agent di analisi indipendenti, ognuno dedicato a una categoria di vulnerabilità:
| Agent | Metodo | Vulnerabilità coperte |
|---|---|---|
| Injection | taint tracking Source→Sink | iniezioni SQL/comandi/file/template/deserializzazione |
| XSS | taint tracking Sink→Source | cross-site scripting nei contesti di rendering HTML |
| SSRF | taint tracking Sink→Source | client HTTP, socket raw, apri-URL |
| Auth | verifica con Guard | controlli di sicurezza mancanti (rate limiting, gestione delle sessioni, ecc.) |
| Authz | verifica con Guard | controlli di autorizzazione mancanti (orizzontali/verticali/di contesto) |
I 5 agentgirano in parallelo, senza bloccarsi a vicenda. Non appena un agent di analisi termina, parte subito il corrispondente agent di exploitation.
Stati di classificazione delle vulnerabilità
L'agent di exploitation classifica ogni segnalazione in tre stati:
- EXPLOITED (sfruttata): entra nel report finale
- POTENTIAL (potenziale): non entra nel report
- FALSE POSITIVE (falso positivo): non entra nel report
Solo EXPLOITED entra nel report finale.
🔥 96,15% al benchmark XBOW
Il benchmark XBOW
Al benchmark XBOW Shannon ha ottenuto un tasso di successo96.15% negli exploit (100/104):
| Tipo di vulnerabilità | Totale | Riuscite | Tasso di successo |
|---|---|---|---|
| Broken Authorization | 25 | 25 | 100% |
| SQL Injection | 7 | 7 | 100% |
| Blind SQL Injection | 3 | 3 | 100% |
| SSRF / Misconfiguration | 22 | 21 | 95.45% |
| XSS | 23 | 22 | 95.65% |
| Server-Side Template Injection | 13 | 12 | 92.31% |
| Command Injection | 11 | 10 | 90.91% |
| Totale | 104 | 100 | 96.15% |
Condizioni del test
- Benchmark XBOW: 104 applicazioni con vulnerabilità inserite appositamente
- Versioni ripulite: rimossi nomi di variabili, commenti e indizi nei percorsi dei file
- Modalità white-box: Shannon può accedere al codice sorgente delle applicazioni
Confronto con gli strumenti commerciali
- Shannon: 96,15% (modalità white-box)
- KinoSec: 92,3% (modalità black-box)
- Xfenser AI: 88,5%
- Piattaforma commerciale XBOW: circa 85% (black-box)
💰 Costi e per iniziare
Costi
Scansione completa singola:
- Tempo richiesto: 1-1,5 ore
- Costo API: circa $50 USD (su Claude Sonnet 4.6)
- Intervallo: $40-55, a seconda dei prezzi dei modelli e della complessità dell'applicazione
Confrontoil penetration testing manuale tradizionale: decine di migliaia di dollari a intervento e settimane di lavoro.
Come iniziare
Modalità npx (consigliata, zero installazioni):
# 一次性配置 npx @keygraph/shannon setup # 运行渗透测试 npx @keygraph/shannon start -u https://your-app.com -r /path/to/repo
Modalità locale (build completa):
# 克隆仓库 git clone https://github.com/KeygraphHQ/shannon.git cd shannon # 配置 API Key echo "ANTHROPIC_API_KEY=your-key" > .env # 安装和构建 pnpm install && pnpm build # 运行 ./shannon start -u https://your-app.com -r /path/to/repo
Prerequisiti
- Docker: runtime per container
- Node.js 18+: ambiente di esecuzione
- Anthropic API Key: consigliata
- Accesso al codice sorgente: necessario per uno strumento white-box
🤝 Shannon Lite vs Shannon Pro
Le due versioni
| Versione | Licenza | Posizionamento |
|---|---|---|
| Shannon Lite | AGPL-3.0 | testare in locale le proprie applicazioni |
| Shannon Pro | commerciale | piattaforma AppSec per organizzazioni (SAST + SCA + Pentest) |
Funzionalità di Shannon Pro
Shannon Pro è una piattaforma di sicurezza applicativa completa:
- Code Property Graph: motore di analisi statica
- Test di sicurezza della logica di business: individuazione automatica degli invarianti
- Analisi di raggiungibilità SCA: tracciamento della raggiungibilità delle CVE
- Rilevamento dei segreti: rilevamento con regex + LLM
- Correlazione statico-dinamica: i risultati dell'analisi statica vengono passati automaticamente al pentest dinamico
- Integrazione CI/CD: scansione delle PR GitHub
⚠️ Avvertenze d'uso
Avvertenze importanti
- Non usare mai su sistemi non autorizzati: Shannon esegue attacchi reali, scansionare senza autorizzazione è illegale
- Sconsigliato in ambienti di produzione: gli attacchi possono avere effetti distruttivi
- I repository possono ospitare prompt injection AI: è un rischio di sicurezza esplicitamente indicato dalla documentazione ufficiale
- Shannon Lite è uno strumento white-box: richiede l'accesso al repository del codice sorgente
Rischio di allucinazioni degli LLM
Avvertenza ufficiale: gli LLM possono ancora produrre allucinazioni, ed è necessaria la verifica umana della validità e della gravità di ogni segnalazione.
📝 Conclusioni
Shannon rappresenta un nuovo paradigma negli strumenti di sicurezza che sta prendendo forma:
- No PoC No Report: solo gli exploit riusciti finiscono nel report
- 41,4K star: il progetto open source più caldo nel campo della sicurezza
- 96,15% al benchmark XBOW: un successo nel white-box che supera di gran lunga gli strumenti commerciali
- Pipeline in cinque fasi: Pre-Recon → Recon → Vuln → Exploit → Report
- 5 agent in parallelo: Injection, XSS, SSRF, Auth, Authz
- $50 a test, 1-1,5 ore: costi ben inferiori al penetration testing manuale
- Strumento white-box: richiede l'accesso al codice sorgente
Nessun report senza PoC: Shannon trasforma il penetration testing in un solo comando.
GitHub:https://github.com/KeygraphHQ/shannon
Sito ufficiale:https://keygraph.io