Shannon zieht das Worker-Image von Docker Hub, startet die erforderliche lokale Infrastruktur, bindet das Ziel-Repository schreibgeschützt in einen ephemeren Worker-Container ein und schreibt Ergebnisse in einen lokalen Workspace.

Für Quell-Builds, authentifizierte Scans, anbieterspezifische Einrichtung und Plattformhinweise siehe [Dokumentation](#documentation).

> [!TIP]
> **Bevorzugst du ein Abonnement anstelle von API-Credits?**
>
> - **OpenAI Codex:** Die neueste Version von Shannon unterstützt ChatGPT Plus- und Pro-Abonnements. Folge der [Einrichtungsanleitung für das OpenAI Codex-Abonnement](https://github.com/keygraphhq/shannon/blob/main/docs/ai-providers.md#openai-codex-chatgpt-pluspro-subscription), um zu starten.
> - **xAI (Grok):** Die neueste Version von Shannon unterstützt xAI-Abonnements. Folge der [Einrichtungsanleitung für das xAI-Abonnement](https://github.com/keygraphhq/shannon/blob/main/docs/ai-providers.md#xai-grok-subscription), um zu starten.
> - **Claude Code:** Die neueste Version von Shannon unterstützt keine Claude Code-Abonnements. Folge der [Einrichtungsanleitung für das Claude Code-Abonnement](https://github.com/keygraphhq/shannon/blob/main/docs/ai-providers.md#claude-code-subscription), um Version `1.9.0` zu verwenden, die letzte auf dem Claude Agent SDK basierende Veröffentlichung.



## Zentrale Fähigkeiten

- **Kein Exploit, kein Bericht**: Meldet nur Schwachstellen, die mit einem reproduzierbaren Proof of Concept bestätigt wurden, und reduziert so spekulatives Scanner-Rauschen.
- **Fortgeschrittene Codeanalyse**: Kartiert Architektur, Vertrauensgrenzen, Schnittstellen, Datenflüsse und kritische Assets, bevor glaubwürdige Angriffspfade an Live-Pentesting-Agenten übergeben werden.
- **Autonome Ausführung**: Führt Reconnaissance, Analyse, Ausnutzung und Berichterstattung mit einem einzigen Befehl aus.
- **Live-Terminal-Erlebnis**: Vereinfacht die Scan-Einrichtung und zeigt Agentenfortschritt und Ergebnisse, ohne Orchestrierungsprotokolle offenzulegen.
- **Authentifiziertes Testen**: Unterstützt Anmeldedaten, Login-Flows, TOTP, E-Mail-Authentifizierung, Schwerpunktbereiche und Rules of Engagement über die Konfiguration.
- **OWASP-fokussierte Abdeckung**: Testet auf ausnutzbare Injection, XSS, SSRF, Broken Authentication und Broken Authorization.
- **Fortsetzbare Workspaces**: Setzt unterbrochene Scans fort, ohne abgeschlossene Arbeit zu wiederholen.
- **Native CI/CD-Integrationen**: Läuft über die offizielle GitHub Action oder GitLab CI/CD-Komponente, bewahrt Artefakte auf, veröffentlicht Findings und blockiert Releases bei nachgewiesenen Schwachstellen.
- **Berichte in mehreren Formaten**: Erzeugt evidenzreiche PDF- und Markdown-Berichte sowie JSON und SARIF 2.1.0. SARIF ist standardmäßig für Scans im Exploit-Modus aktiviert.
- **Anbieterunabhängig und BYOK**: Unterstützt Anthropic, OpenAI, xAI, AWS Bedrock, kompatible APIs und LLM-Gateways sowie lokale Modelle, die über Ollama, vLLM oder LM Studio bereitgestellt werden.
- **Privat by Design**: Läuft in deiner Infrastruktur, speichert Ergebnisse lokal und sendet Modellanfragen direkt an deinen gewählten Endpunkt. Ein lokaler Endpunkt hält Daten innerhalb deiner Umgebung.



## CI/CD-Integrationen

Shannon kann kontinuierlich gegen bereitgestellte Staging- und Entwicklungsumgebungen über offizielle Integrationen für [GitHub Actions](https://github.com/KeygraphHQ/shannon-action) und [GitLab CI/CD](https://gitlab.com/KeygraphHQ/shannon-ci) ausgeführt werden.

Beide Integrationen:

- analysieren das ausgecheckte Quell-Repository, während sie ein laufendes Ziel angreifen;
- bewahren PDF-, Markdown- und SARIF-Berichte als Pipeline-Artefakte auf;
- bewahren Scan- und Agentenprotokolle zum Debuggen auf, einschließlich unvollständiger Läufe;
- unterstützen Pull-Request-, Release- und geplante Pentests;
- unterscheiden eine unvollständige Bewertung von einem abgeschlossenen Scan ohne Findings; und
- lassen die Pipeline optional fehlschlagen, wenn Shannon eine Schwachstelle auf oder über einem konfigurierten Schweregradschwellenwert ausnutzt.

Eine Hypothese aus der Codeanalyse lässt die Pipeline nicht fehlschlagen. Schweregrad-Gates zählen nur Findings mit `status: exploited`.

### GitHub Actions```yaml
name: Shannon Pentest

on:
  workflow_dispatch:

permissions:
  security-events: write

jobs:
  pentest:
    runs-on: ubuntu-latest

    steps:
      - uses: actions/checkout@v4

      - name: Run Shannon
        uses: KeygraphHQ/shannon-action@v1
        with:
          url: https://staging.example.com
          api-key: ${{ secrets.SHANNON_AI_API_KEY }}
          fail-on-severity: high
          upload-sarif: true

EXISTING -- "Pentest candidates" --> REC["Finding reconciliation<br/>(merge + deduplicate)"]
SAST -- "SAST candidates" --> REC

REC -- "Reconciled exploitation queue" --> EXP["Exploitation agents"]
APP["Running application"] --> EXP

EXP -- "Exploit demonstrated" --> REPORT["Reporting<br/>PDF · Markdown · SARIF"]
EXP -- "No exploit demonstrated" --> DROP["Discard"]

REPORT --> CICD["CI/CD gate"]

Schritt für Schritt:

1. **Recon und Schwachstellenanalyse** untersucht die laufende Anwendung, verknüpft Laufzeitverhalten mit dem Quellcode und führt spezialisierte Agents für Injection, XSS, SSRF, Authentifizierung und Autorisierung aus.
2. **Agentische Sicherheits-Codeanalyse** kartiert die Architektur der Anwendung, Vertrauensgrenzen, exponierte Schnittstellen, Abhängigkeiten, Datenflüsse und risikoreiche Assets und eröffnet dann gezielte Untersuchungen gegen diese.
3. **Finding-Abgleich** führt beide Kandidatenströme zusammen, dedupliziert die Überschneidungen und gruppiert den Rest in eine Exploitation-Warteschlange.
4. **Exploitation-Agents** versuchen echte Proof-of-Concept-Angriffe gegen die laufende Anwendung.
5. **Validierung** verwirft jeden Kandidaten, den Shannon nicht nachweisen kann.
6. **Reporting** erzeugt PDF- und Markdown-Berichte mit angehängten Belegen sowie strukturiertes JSON und SARIF für nachgelagerte Systeme.

Nur live validierte Schwachstellen werden zu Shannon-Pentest-Findings oder zählen für CI/CD-Severity-Gates.

Jeder Scan läuft in einem ephemeren Docker-Container mit isoliertem Workspace und Orchestrierung pro Aufruf.

## Dokumentation

Nutze diese Leitfäden für operative Details:


| Leitfaden                                                 | Wofür verwenden                                                                                                                                                           |
| --------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| [Quellcode-Build und CLI-Befehle](https://github.com/keygraphhq/shannon/blob/main/docs/development.md)    | Klonen, Bauen, gängige Befehle, Ausgabepfade und lokale Entwicklung.                                                                                                      |
| [Konfiguration](https://github.com/keygraphhq/shannon/blob/main/docs/configuration.md)                    | Authentifiziertes Testen, Login-Flows, Rules of Engagement und Berichtsfilter.                                                                                            |
| [KI-Anbieter](https://github.com/keygraphhq/shannon/blob/main/docs/ai-providers.md)                       | Auswahl des Modells, der unterstützten Anbieter (Anthropic, OpenAI, xAI, AWS Bedrock und jeder andere von Pi unterstützte Anbieter) und benutzerdefinierte LLM-Gateways.   |
| [Plattformen und Netzwerk](https://github.com/keygraphhq/shannon/blob/main/docs/platforms.md)             | Windows/WSL2, Linux, macOS, Docker-Netzwerk, lokale Apps und benutzerdefinierte Hostnamen.                                                                                |
| [Workspaces und Fortsetzen](https://github.com/keygraphhq/shannon/blob/main/docs/workspaces.md)           | Benennen von Workspaces, Fortsetzen unterbrochener Scans und Workspace-Speicherung.                                                                                       |
| [Sicherheit und Einschränkungen](https://github.com/keygraphhq/shannon/blob/main/docs/safety.md)          | Anforderungen an die autorisierte Nutzung, Nicht-Produktions-Hinweise, mutative Effekte, Kosten und Modell-Einschränkungen.                                              |
| [Abdeckung und Roadmap](https://github.com/keygraphhq/shannon/blob/main/docs/coverage-roadmap.md)         | Aktuelle Schwachstellenabdeckung und geplante Arbeiten.                                                                                                                   |
| [Keygraph Enterprise Platform](https://github.com/keygraphhq/shannon/blob/main/docs/keygraph-platform.md) | Erschöpfende agentische SAST, kontinuierliches Pentesting, Finding-Management über den gesamten Lebenszyklus, Remediation, gezielte Verifikation, Enterprise-Governance und On-Premises-Deployment. |




## Sicherheit, Scope und Einschränkungen

Shannon ist kein passiver Scanner. Seine Exploitation-Agents können Benutzer anlegen, Formulare absenden, den Anwendungszustand verändern, ausgehende Anfragen auslösen und das Zielsystem anderweitig beeinflussen. Verwende sandboxed-, Staging- oder lokale Entwicklungsumgebungen mit wegwerfbaren Daten.

Du bist dafür verantwortlich, Shannon legal und ethisch einzusetzen. Richte Shannon nicht auf Systeme, Repositories oder Anwendungen, die dir nicht gehören oder für die du keine ausdrückliche Testautorisierung hast.

Wichtige Einschränkungen:

- Shannon Open Source ist auf schnelles, code-informiertes Pentesting im alltäglichen Entwicklungs- und CI/CD-Betrieb ausgelegt. Erschöpfende agentische SAST, breitere Scanner-Abdeckung, zentralisierte Governance und Full-Lifecycle-Schwachstellenmanagement werden über die Keygraph Enterprise Platform bereitgestellt.
- Findings erfordern weiterhin menschliche Überprüfung. LLM-generierte Berichte können schwach belegte oder falsche Details enthalten.
- Anthropic, OpenAI, xAI und AWS Bedrock sind integrierte Anbieter, und jeder andere Anbieter im Harness-Katalog funktioniert ebenfalls — jeder erreichbar über eine benutzerdefinierte Base-URL, die ihn auf einen Proxy oder ein LLM-Gateway verweist. Die Modellfähigkeit variiert, und ein Modell, das Shannons Anweisungen oder Tool-Use-Einschränkungen nicht zuverlässig befolgt, liefert schwächere Ergebnisse.
- Ein vollständiger Lauf kann etwa 1 bis 1,5 Stunden dauern und je nach Modellpreisgestaltung und Anwendungskomplexität LLM-API-Kosten verursachen.
- Scanne keine nicht vertrauenswürdigen oder gegnerischen Codebasen. KI-gestützte Tools, die Quellcode lesen, können Prompt-Injection ausgesetzt sein.

Lies den vollständigen Leitfaden [Sicherheit und Einschränkungen](https://github.com/keygraphhq/shannon/blob/main/docs/safety.md), bevor du Shannon in einer neuen Umgebung ausführst.

## Lizenz

Shannon Open Source ist unter der [GNU Affero General Public License v3.0](https://github.com/keygraphhq/shannon/blob/main/LICENSE) lizenziert.

Kommerzielle und Enterprise-Lizenzierung ist für Organisationen verfügbar, die andere Lizenzbedingungen, kommerziellen Support, private Weiterverbreitung, Managed-Service-Nutzung oder breitere Deployment-Optionen benötigen, einschließlich der Keygraph-Plattform.

Für kommerzielle Lizenzierung kontaktiere [[email protected]](mailto:[email protected]).

## Danksagungen

Dank an [Pi](https://github.com/earendil-works/pi),
[Playwright CLI](https://github.com/microsoft/playwright-cli),
und [Mantis](https://github.com/google/mantis).

Siehe [THIRD_PARTY_NOTICES.md](https://github.com/keygraphhq/shannon/blob/main/THIRD_PARTY_NOTICES.md) für Lizenzierungs- und Attributionsdetails.

## Über Keygraph

**Keygraph** ist das Unternehmen hinter Shannon. Es entwickelt außerdem die **Keygraph-Plattform**, das kommerzielle agentische Pentesting-Produkt, das den vollständigen AppSec-Lebenszyklus abdeckt und einen erweiterten Build von Shannon als Pentesting-Engine betreibt.

## Community und Support

**Community-Office-Hours** stehen für praktische Hilfe bei Bugs, Deployments und Konfigurationsfragen zur Verfügung.

- US/EU: Donnerstag, 10:00 Uhr PT
- Asien: Donnerstag, 14:00 Uhr IST
- [Termin buchen](https://cal.com/george-flores-keygraph/shannon-community-office-hours)

[Tritt Discord bei](https://discord.gg/cmctpMBXwE), um Fragen zu stellen, Feedback zu teilen und dich mit anderen Shannon-Nutzern zu vernetzen.

Derzeit akzeptiert Keygraph keine externen Code-Beiträge. Issues sind willkommen für Bug-Reports und Feature-Anfragen:

- [Bugs melden](https://github.com/KeygraphHQ/shannon/issues)
- [Features vorschlagen](https://github.com/KeygraphHQ/shannon/discussions)

Bleib in Verbindung:

- [Keygraph-Website](https://keygraph.io)
- [Twitter/X: @KeygraphHQ](https://twitter.com/KeygraphHQ)
- [LinkedIn: Keygraph](https://linkedin.com/company/keygraph)



## Häufige Fragen



### Kann ich Shannon selbst hosten?

Ja. Shannon Open Source läuft innerhalb deiner Infrastruktur in einem ephemeren Worker-Container. Es mountet das Repository schreibgeschützt und schreibt Ergebnisse in einen lokalen Workspace.

Keygraph erhält niemals deinen Quellcode und leitet deinen Modell-Traffic niemals über einen Proxy. Deine Modellanfragen gehen direkt an den Anbieter oder Endpunkt, den du konfigurierst, und sie tragen Quellcode- und Anwendungskontext mit sich. Richte Shannon auf einen lokal gehosteten Endpunkt, und dieser Traffic bleibt ebenfalls in deiner Umgebung.

### Unterstützt Shannon Bring Your Own Key (BYOK)?

Ja, immer. Du stellst die LLM-Anmeldedaten bereit, die Shannon zum Ausführen eines Pentests verwendet, in jedem Deployment, Open Source und kommerziell. Keygraph leitet deinen Modell-Traffic niemals über einen Proxy.

### Gibt Shannon SARIF aus?

Ja. Shannon gibt SARIF 2.1.0 aus, das OASIS-Standardformat für Static-Analysis-Ergebnisse, zusammen mit strukturiertem JSON. Jeder SARIF-Consumer liest es: Code-Scanning-Dienste, Vulnerability-Management-Plattformen, Security-Dashboards und CI/CD-Pipelines. Es wird standardmäßig bei Scans im Exploit-Modus geschrieben; setze `report.sarif` in deiner Konfigurationsdatei auf `"false"`, um es abzulehnen.

### Welche KI-Anbieter unterstützt Shannon?

Anthropic, OpenAI, xAI und AWS Bedrock sind integriert und werden direkt über die Anbieter-ID konfiguriert. Darüber hinaus läuft Shannon auf jedem Anbieter im Pi-Harness-Katalog, benannt auf dieselbe Weise `<provider>:<model-id>`. Jeder Anbieter kann über eine benutzerdefinierte Base-URL auf einen Proxy oder ein LLM-Gateway verwiesen werden, was nur den Endpunkt überschreibt und den API-Dialekt dieses Anbieters beibehält. Shannon verwendet während eines Pentests durchgehend eine einzige einheitliche Modelleinstellung.

### Kann ich Shannon auf einem lokalen oder selbst gehosteten Modell ausführen?

Shannon funktioniert mit lokalen Modellen, die über Ollama, vLLM oder LM Studio bereitgestellt werden, welche einen OpenAI-kompatiblen Endpunkt bereitstellen, sowie mit Routern wie OpenRouter und LLM-Gateways wie LiteLLM. Richte Shannon mit einer benutzerdefinierten Base-URL auf den Endpunkt. Die Fähigkeit variiert, und ein Modell, das Shannons Anweisungen oder Tool-Use-Einschränkungen nicht zuverlässig befolgt, liefert schwächere Pentests als ein Frontier-Modell, also wähle diesen Weg nur, wenn du weißt, wie sich dein gewähltes Modell verhält. Siehe [KI-Anbieter](https://github.com/keygraphhq/shannon/blob/main/docs/ai-providers.md#custom-base-url).

### Nutzt Shannon tatsächlich Schwachstellen aus oder scannt es nur?

Shannon führt echte Exploits aus. Es meldet ein Finding nur, wenn es einen funktionierenden Proof-of-Concept erstellt hat, und verwirft Hypothesen, die es nicht beweisen kann. Es ist ein Pentester, kein passiver Scanner.

**Erstellt von [Keygraph](https://keygraph.io)**