Shannon: 41.4K Yıldızlı Beyaz Kutu AI Sızma Testi Aracı
🤖 Shannon: 41.4K Yıldızlı Beyaz Kutu AI Sızma Testi Aracı, No PoC No Report
Shannon, web uygulamalarına ve API'lere yönelik otonom çalışan bir beyaz kutu AI sızma testi aracıdır:
- 41.4K GitHub Stars: güvenlik alanının en popüler açık kaynak projelerinden biri
- No PoC No Report: PoC olmadan rapor yok, sıfır yanlış pozitif
- XBOW benchmark'ında 96.15%: açıktan yararlanma başarı oranı ticari araçları eziyor
- $50/tarama: tek test maliyeti, 1-1,5 saatte rapor
- Beyaz kutu testi: kaynak kodu erişimi gerektirir, kaynak kod analizi + dinamik saldırı
Bu,güvenlik araç zincirindeki dinamik doğrulama katmanıdır ve geleneksel sızma testindeki boşluğu doldurur.
🔍 Shannon neden var?
Güvenlik boşluğu sorunu
Ekibiniz AI programlama araçlarıylaher gün kod dağıtıyor, ancak sızma testiyılda bir yapılıyor — aradaki364 günlük güvenlik boşluğunukim dolduracak?
- Geleneksel tarayıcılar: bir yığın “olabilir” açığı raporlar, güvenlik mühendisleri tek tek doğrular
- Manuel sızma testi: haftalarca sürer, on binlerce dolara mal olur
- Güvenlik boşluğu: aradaki 364 günde kusurlu kod üretim ortamına dağıtılıyor olabilir
Shannon'ın yanıtı
Shannon'ın verdiği yanıt: birkaynak kodu okuyabilen, tarayıcıyı kendisi kullanarak saldırı başlatabilen, sızamadığında rapor vermeyentam otonom sızma testi Agent'ı.
⚠️ Bir tarayıcı değil: No Exploit, No Report
Shannon'ı anlamada ilk adım
Shannon'ı anlamadaki ilk adım, neolmadığınınetleştirmektir:
- DAST değil: dinamik uygulama güvenlik testi aracı değildir
- SAST değil: statik uygulama güvenlik testi aracı değildir
- Desen eşleştirme değil: bilinen tehlikeli desenleri taramaz
Geleneksel araçlar özündedesen eşleştirmedir — kodda veya HTTP yanıtlarında bilinen tehlikeli desenleri tarar ve “şüpheli açık” listesi çıkarır.
Shannon'ın temel tasarım ilkesi
Shannon'ın temel tasarım ilkesi tek cümleyle şöyle özetlenebilir:“POC or it didn't happen”(PoC yoksa olmamış demektir):
| Özellik | Açıklama |
|---|---|
| Gerçek saldırı başlatır | Tarayıcı otomasyonuyla SQL enjekte eder, XSS yükleri oluşturur, SSRF istekleri gönderir |
| Yalnızca başarılı istismar raporlanır | Yalnızca başarıyla istismar edilen açıklar nihai rapora girer |
| Kopyalanabilir PoC ekler | Her bulgu, doğrudan kopyalanıp yapıştırılabilir PoC koduyla birlikte gelir |
| Yanlış pozitifler rapora girmez | İstismar edilemeyen açıklar “yanlış pozitif” veya “potansiyel” olarak işaretlenir ve rapora girmez |
Bu, güvenlik ekiplerinin eline geçenher bulgunun doğrulanmış ve yeniden üretilebilir olduğuanlamına gelir.
OWASP Juice Shop testi
Resmî olarak sağlananOWASP Juice Shoptest raporunda Shannon20'den fazla açık buldu:
- SQL enjeksiyonuyla kimlik doğrulama atlatma(Critical)
- UNION enjeksiyonuyla veri çıkarımı(Critical)
- SSRF(High)
- XSS(High)
- Çoklu yetkilendirme atlatmaları(High)
Dikkat çekici şekilde, diğer iki test hedefinde Shannon'ın XSS tespitisıfır yanlış pozitif gösterdi — bu uygulamaların sağlam XSS savunmalarına sahip olduğunu doğru şekilde tanımladı, hiç yanlış alarma rastlamadı.
🔬 Beş Aşamalı Boru Hattı Mimarisi
Beş aşamalı boru hattı + çoklu Agent paralelliği
Shannon'ın teknik mimarisinde iki anahtar kavram var:beş aşamalı boru hattıveçoklu Agent paralelliği:
| Aşama | Ad | Açıklama |
|---|---|---|
| Aşama 1 | Pre-Recon | Dış tarama + kaynak kod analizi (Nmap, Subfinder, WhatWeb) |
| Aşama 2 | Recon | Statik ve dinamik analizi birbirine bağlar; uç noktaları doğrular, kimlik doğrulama akışlarını haritalar |
| Aşama 3 | Vulnerability Analysis | 5 paralel Agent, her biri bir açık kategorisinden sorumlu |
| Aşama 4 | Exploitation | 5 paralel Agent, gerçek saldırıları yürütür |
| Aşama 5 | Reporting | Sızma testi düzeyinde yürütme raporu oluşturur |
Altta yatan çıkarım motoru
ShannonAnthropic Claude Agent SDKüzerine kurulu ve üç katmanlı model yapılandırması kullanıyor:
- Claude Haiku 4.5: özetleme
- Claude Sonnet 4.6: güvenlik analizi
- Claude Opus 4.6: derin akıl yürütme
📊 5 Açık Kategorisi İçin Paralel Agent'lar
5 bağımsız analiz Agent'ı
Shannon aynı anda5 bağımsız analiz Agent'ı başlatır, her biri bir açık kategorisinden sorumludur:
| Agent | Yöntem | Kapsanan açıklar |
|---|---|---|
| Injection | Source→Sink veri akışı (taint) izleme | SQL/komut/dosya/şablon/deserileştirme enjeksiyonu |
| XSS | Sink→Source veri akışı (taint) izleme | HTML işleme bağlamında çapraz site betiği (XSS) |
| SSRF | Sink→Source veri akışı (taint) izleme | HTTP istemcileri, ham socket'ler, URL açıcılar |
| Auth | Guard doğrulaması | Eksik güvenlik kontrolleri (hız sınırı, oturum yönetimi vb.) |
| Authz | Guard doğrulaması | Eksik yetkilendirme kontrolleri (yatay/dikey/bağlam) |
5 Agenteşzamanlı çalışır ve birbirini engellemez. Her analiz Agent'ı tamamlanır tamamlanmaz karşılık gelen istismar Agent'ı hemen başlar.
Açık sınıflandırma durumları
İstismar Agent'ı her bulguyuüç durumdan biriylesınıflandırır:
- EXPLOITED(istismar edildi): nihai rapora girer
- POTENTIAL(potansiyel): rapora girmez
- FALSE POSITIVE(yanlış pozitif): rapora girmez
YalnızcaEXPLOITEDnihai rapora girer.
🔥 XBOW Benchmark'ında 96.15%
XBOW benchmark testi
ShannonXBOW benchmark'ındaaşağıdaki başarı oranını96.15%elde etti, açıktan yararlanma başarı oranı (100/104):
| Açık türü | Toplam | Başarılı | Başarı oranı |
|---|---|---|---|
| Broken Authorization | 25 | 25 | 100% |
| SQL Injection | 7 | 7 | 100% |
| Blind SQL Injection | 3 | 3 | 100% |
| SSRF / Misconfiguration | 22 | 21 | 95.45% |
| XSS | 23 | 22 | 95.65% |
| Server-Side Template Injection | 13 | 12 | 92.31% |
| Command Injection | 11 | 10 | 90.91% |
| Genel toplam | 104 | 100 | 96.15% |
Test koşulları
- XBOW benchmark: bilerek açık bırakılmış 104 uygulama
- Temizlenmiş sürümler: değişken adları, yorumlar ve dosya yolu ipuçları kaldırıldı
- Beyaz kutu modu: Shannon uygulamanın kaynak koduna erişebilir
Ticari araçlarla karşılaştırma
- Shannon: %96.15 (beyaz kutu modu)
- KinoSec: %92.3 (siyah kutu modu)
- Xfenser AI: %88.5
- XBOW ticari platformu: yaklaşık %85 (siyah kutu)
💰 Maliyet ve Başlangıç
Maliyet
Tek tam tarama:
- Süre: 1-1,5 saat
- API maliyeti: yaklaşık $50 USD (Claude Sonnet 4.6 tabanlı)
- Aralık: $40-55, model fiyatlandırmasına ve uygulama karmaşıklığına bağlı
KarşılaştırmaGeleneksel manuel sızma testi: tek seferde on binlerce dolar, haftalarca sürüyor.
Nasıl başlanır
npx modu(önerilen, kurulum gerektirmez):
# 一次性配置 npx @keygraph/shannon setup # 运行渗透测试 npx @keygraph/shannon start -u https://your-app.com -r /path/to/repo
Yerel mod(tam kurulum):
# 克隆仓库 git clone https://github.com/KeygraphHQ/shannon.git cd shannon # 配置 API Key echo "ANTHROPIC_API_KEY=your-key" > .env # 安装和构建 pnpm install && pnpm build # 运行 ./shannon start -u https://your-app.com -r /path/to/repo
Ön koşullar
- Docker: konteyner çalışma ortamı
- Node.js 18+: çalışma ortamı
- Anthropic API Key: önerilir
- Kaynak kodu erişimi: beyaz kutu aracı için gerekli
🤝 Shannon Lite vs Shannon Pro
İki sürüm
| Sürüm | Lisans | Konumlandırma |
|---|---|---|
| Shannon Lite | AGPL-3.0 | Kendi uygulamalarını yerel olarak test etme |
| Shannon Pro | Ticari | Kurumsal AppSec platformu (SAST + SCA + Pentest) |
Shannon Pro özellikleri
Shannon Protam özellikli bir uygulama güvenlik platformudur:
- Code Property Graph: statik analiz motoru
- İş mantığı güvenlik testi: otomatik değişmez (invariant) keşfi
- SCA erişilebilirlik analizi: CVE erişilebilirlik takibi
- Sır (secret) tespiti: regex + LLM tespiti
- Statik-dinamik korelasyon: statik bulgular otomatik olarak dinamik sızma testine aktarılır
- CI/CD entegrasyonu: GitHub PR taraması
⚠️ Kullanım Uyarıları
Önemli uyarılar
- Yetkisiz sistemlerde kesinlikle kullanılmamalıdır: Shannon gerçek saldırılar yürütür; yetkisiz tarama yasadışıdır
- Üretim ortamında çalıştırılması önerilmez: saldırı davranışları yıkıcı etkilere yol açabilir
- Depo AI istem enjeksiyonuna açık olabilir: bu, resmî olarak açıkça listelenmiş bir güvenlik riskidir
- Shannon Lite bir beyaz kutu aracıdır: kaynak kod deposuna erişim gerektirir
LLM halüsinasyon riski
Resmî yasal uyarı: LLM'ler hâlâ halüsinasyon görebilir,tüm bulguların geçerliliği ve ciddiyetiinsan tarafından doğrulanmalıdır.
📝 Özet
Shannon, şekillenen yeni bir güvenlik aracı paradigmasını temsil ediyor:
- No PoC No Report: yalnızca başarılı istismar raporlanır
- 41.4K yıldız: güvenlik alanının en popüler açık kaynak projesi
- XBOW benchmark'ında %96.15: beyaz kutu test başarı oranı ticari araçları eziyor
- Beş aşamalı boru hattı: Pre-Recon → Recon → Vuln → Exploit → Report
- 5 paralel Agent: Injection, XSS, SSRF, Auth, Authz
- $50/tarama, 1-1,5 saat: maliyet manuel sızma testinden çok daha düşük
- Beyaz kutu aracı: kaynak kodu erişimi gerektirir
PoC yoksa rapor yok; Shannon sızma testini tek bir komuta indiriyor.
GitHub:https://github.com/KeygraphHQ/shannon
Web sitesi:https://keygraph.io