Shannon: white-box AI-pentesting-tool met 41.4K sterren
🤖 Shannon: white-box AI-pentesting-tool met 41.4K sterren, No PoC No Report
Shannonis een autonoom draaiende white-box AI-pentesting-tool gericht op webapplicaties en API's:
- 41.4K GitHub-sterren: een van de populairste open-sourceprojecten in de securitywereld
- No PoC No Report: geen rapportage zonder PoC, nul false positives
- XBOW-benchmark 96.15%: een succespercentage bij exploits dat commerciële tools ver achter zich laat
- $50 per scan: kosten per enkele test, rapport binnen 1 à 1,5 uur
- White-box-testen: vereist toegang tot de broncode; broncode-analyse plus dynamische aanvallen
Het isde dynamische verificatielaag in de security-toolchain, die een leemte in traditioneel pentesten opvult.
🔍 Waarom bestaat Shannon?
Het probleem van het securitygat
Uw team deployt met AI-programmeerhulpmiddelenelke dag code, maar pentestengebeuren maar één keer per jaar — wie vulthet securitygat van die 364 dagen ertussen?
- Traditionele scanners: melden stapels 'mogelijk aanwezige' kwetsbaarheden die security engineers één voor één moeten verifiëren
- Handmatig pentesten: duurt weken en kost tienduizenden dollars
- Het securitygat: in die 364 dagen ertussen kunnen er juist kwetsbaarheden naar productie worden uitgerold
Het antwoord van Shannon
Shannons antwoord is: eenvolledig autonome pentest-agent die broncode kan lezen, zelfstandig een browser bedient om aanvallen uit te voeren, en niets rapporteert als de aanval niet slaagt.
⚠️ Geen scanner: No Exploit, No Report
De eerste stap om Shannon te begrijpen
De eerste stap om Shannon te begrijpen is inzien wat hetniet is:
- Geen DAST: geen tool voor dynamische applicatiebeveiligingstesten
- Geen SAST: geen tool voor statische applicatiebeveiligingstesten
- Geen patroonherkenning: het scant niet op bekende gevaarlijke patronen
Traditionele tools zijn in essentiepatroonherkenning — ze scannen code of HTTP-responsen op bekende gevaarlijke patronen en leveren een lijst met 'vermoedelijke kwetsbaarheden' op.
Shannons kernprincipe
Shannons kernprincipe in één zin:“POC or it didn’t happen”(geen PoC betekent dat het niet gebeurd is):
| Kenmerk | Toelichting |
|---|---|
| Voert daadwerkelijk aanvallen uit | injecteert SQL via browserautomatisering, construeert XSS-payloads en verstuurt SSRF-verzoeken |
| Rapporteert alleen bij succesvolle exploitatie | alleen kwetsbaarheden die succesvol zijn geëxploiteerd komen in het eindrapport |
| Levert direct herbruikbare PoC's | elke bevinding bevat PoC-code die direct kan worden gekopieerd |
| Geen false positives in het rapport | niet-exploiteerbare kwetsbaarheden worden gemarkeerd als 'false positive' of 'mogelijk' en komen niet in het rapport |
Dat betekent dat wat security teams krijgenelke bevinding geverifieerd en reproduceerbaar is.
OWASP Juice Shop-test
In het officiëleOWASP Juice Shoptestrapport vond Shannonmeer dan 20 kwetsbaarheden:
- SQL-injectie met authenticatie-omzeiling(Kritiek)
- UNION-injectie voor data-extractie(Kritiek)
- SSRF(Hoog)
- XSS(Hoog)
- Meerdere autorisatie-omzeilingen(Hoog)
Opmerkelijk is dat Shannon op twee andere testdoelen bij XSS-detectienul false positivesboekte — het herkende correct dat deze applicaties over robuuste XSS-bescherming beschikten en sloeg geen alarm.
🔬 Vijffasige pijplijnarchitectuur
Vijffasige pijplijn plus parallelle multi-agent-uitvoering
De technische architectuur van Shannon draait om twee begrippen:de vijffasige pijplijnenparallelle multi-agent-uitvoering:
| Fase | Naam | Toelichting |
|---|---|---|
| Fase 1 | Pre-Recon | extern scannen plus broncode-analyse (Nmap, Subfinder, WhatWeb) |
| Fase 2 | Recon | brug tussen statische en dynamische analyse; verifieert endpoints en brengt authenticatiestromen in kaart |
| Fase 3 | Vulnerability Analysis | 5 parallelle agents, elk verantwoordelijk voor één kwetsbaarheidscategorie |
| Fase 4 | Exploitation | 5 parallelle agents die echte aanvallen uitvoeren |
| Fase 5 | Reporting | genereert een rapport op pentest-niveau |
Onderliggende inferentie-engine
Shannon is gebaseerd opde Anthropic Claude Agent SDKen gebruikt een modelconfiguratie in drie lagen:
- Claude Haiku 4.5: samenvatten
- Claude Sonnet 4.6: securityanalyse
- Claude Opus 4.6: diepgaand redeneren
📊 5 parallelle agents voor 5 kwetsbaarheidscategorieën
5 onafhankelijke analyse-agents
Shannon start tegelijkertijd5 onafhankelijke analyse-agents, elk verantwoordelijk voor één kwetsbaarheidscategorie:
| Agent | Methode | Gedekte kwetsbaarheden |
|---|---|---|
| Injection | taint-analyse van Source naar Sink | SQL-, commando-, bestands-, template- en deserialisatie-injecties |
| XSS | taint-analyse van Sink naar Source | cross-site scripting in HTML-renderingcontexten |
| SSRF | taint-analyse van Sink naar Source | HTTP-clients, raw sockets en URL-openers |
| Auth | verificatie via guards | ontbrekende beveiligingscontroles (rate limiting, sessiebeheer enz.) |
| Authz | verificatie via guards | ontbrekende autorisatiecontroles (horizontaal/verticaal/contextueel) |
De 5 agentsdraaien gelijktijdig, zonder elkaar te blokkeren. Zodra een analyse-agent klaar is, start de bijbehorende exploitatie-agent onmiddellijk.
Classificatiestatus van kwetsbaarheden
De exploitatie-agent classificeert elke bevinding indrie statussen:
- EXPLOITED(geëxploiteerd): komt in het eindrapport
- POTENTIAL(mogelijk): komt niet in het rapport
- FALSE POSITIVE(false positive): komt niet in het rapport
AlleenEXPLOITEDkomt in het eindrapport.
🔥 XBOW-benchmark 96.15%
De XBOW-benchmark
Op deXBOW-benchmarkbehaalde Shannon het96.15%succespercentage bij exploits (100/104):
| Kwetsbaarheidstype | Totaal | Succesvol | Succespercentage |
|---|---|---|---|
| Broken Authorization | 25 | 25 | 100% |
| SQL Injection | 7 | 7 | 100% |
| Blind SQL Injection | 3 | 3 | 100% |
| SSRF / Misconfiguration | 22 | 21 | 95.45% |
| XSS | 23 | 22 | 95.65% |
| Server-Side Template Injection | 13 | 12 | 92.31% |
| Command Injection | 11 | 10 | 90.91% |
| Totaal | 104 | 100 | 96.15% |
Toelichting op de testomstandigheden
- De XBOW-benchmark: 104 applicaties met opzettelijk aangebrachte kwetsbaarheden
- Opgeschonde versies: variabelenamen, comments en hints over bestandspaden verwijderd
- White-box-modus: Shannon heeft toegang tot de broncode van de applicatie
Vergelijking met commerciële tools
- Shannon: 96.15% (white-box-modus)
- KinoSec: 92.3% (black-box-modus)
- Xfenser AI: 88.5%
- Het commerciële XBOW-platform: circa 85% (black-box)
💰 Kosten en installatie
Kosten
Eén volledige scan:
- Duur: 1 à 1,5 uur
- API-kosten: circa $50 USD (gebaseerd op Claude Sonnet 4.6)
- Bereik: $40–55, afhankelijk van de modelprijzen en de complexiteit van de applicatie
VergelijkingTraditioneel handmatig pentesten: tienduizenden dollars per keer en weken duur.
Aan de slag
npx-modus(aanbevolen, zonder installatie):
# 一次性配置 npx @keygraph/shannon setup # 运行渗透测试 npx @keygraph/shannon start -u https://your-app.com -r /path/to/repo
Lokale modus(volledige build):
# 克隆仓库 git clone https://github.com/KeygraphHQ/shannon.git cd shannon # 配置 API Key echo "ANTHROPIC_API_KEY=your-key" > .env # 安装和构建 pnpm install && pnpm build # 运行 ./shannon start -u https://your-app.com -r /path/to/repo
Vereisten
- Docker: containerruntime
- Node.js 18+: runtime-omgeving
- Anthropic API Key: aanbevolen
- Toegang tot de broncode: vereist voor een white-box-tool
🤝 Shannon Lite vs. Shannon Pro
De twee versies
| Versie | Licentie | Positionering |
|---|---|---|
| Shannon Lite | AGPL-3.0 | lokale tests van uw eigen applicaties |
| Shannon Pro | commercieel | AppSec-platform voor organisaties (SAST + SCA + pentest) |
Functies van Shannon Pro
Shannon Prois een volledig applicatiebeveiligingsplatform:
- Code Property Graph: engine voor statische analyse
- Securitytesten van bedrijfslogica: geautomatiseerde ontdekking van invarianten
- SCA-reachability-analyse: traceren welke CVE's daadwerkelijk bereikbaar zijn
- Detectie van secrets: regex- plus LLM-detectie
- Koppeling van statisch en dynamisch: statische bevindingen worden automatisch doorgegeven aan het dynamische pentesten
- CI/CD-integratie: GitHub PR-scans
⚠️ Aandachtspunten bij gebruik
Belangrijke waarschuwingen
- Gebruik het nooit op systemen zonder toestemming: Shannon voert echte aanvallen uit; scannen zonder autorisatie is strafbaar
- Niet aanbevolen in productieomgevingen: de aanvallen kunnen verwoestende gevolgen hebben
- Repository's kunnen vatbaar zijn voor AI-promptinjectie: dit is een expliciet door de makers genoemd beveiligingsrisico
- Shannon Lite is een white-box-tool: vereist toegang tot de broncoderepository
Risico op LLM-hallucinaties
Officiële disclaimer: LLM's kunnen nog steeds hallucineren, dusde legitimiteit en ernst van alle bevindingen moet handmatig worden gecontroleerd.
📝 Samenvatting
Shannon belichaamt een securitytool-paradigma dat vorm begint te krijgen:
- No PoC No Report: alleen rapportage bij succesvolle exploitatie
- 41.4K sterren: het populairste open-sourceproject in de securitywereld
- XBOW-benchmark 96.15%: white-box-succespercentage dat commerciële tools ver achterlaat
- Vijffasige pijplijn: Pre-Recon → Recon → Vuln → Exploit → Report
- 5 parallelle agents: Injection, XSS, SSRF, Auth, Authz
- $50 per scan, 1 à 1,5 uur: aanzienlijk goedkoper dan handmatig pentesten
- White-box-tool: vereist toegang tot de broncode
Geen rapport zonder PoC: Shannon maakt pentesten één commando.
GitHub:https://github.com/KeygraphHQ/shannon
Website:https://keygraph.io