[!NOTE] Shannon 2.0 आधिकारिक तौर पर यहाँ है

Shannon - Keygraph द्वारा AI पेंटेस्टर

Shannon वेब एप्लिकेशन और API के लिए एक स्वायत्त, AI पेंटेस्टर है।
यह आपके सोर्स कोड का विश्लेषण करता है, हमले के रास्तों की पहचान करता है, और वास्तविक एक्सप्लॉइट चलाकर कमजोरियों को प्रोडक्शन तक पहुँचने से पहले साबित करता है।

यह रिपॉज़िटरी Shannon Open Source है: पूरा एजेंट, जिसे आप अपनी कमांड लाइन से स्थानीय रूप से चलाते हैं।

---

---

[!TIP] AI एजेंट और LLM: इस रिपॉज़िटरी का संक्षिप्त नक्शा पाने के लिए llms.txt से शुरू करें, या README और दस्तावेज़ों को एक फ़ाइल में संयोजित करने के लिए llms-full.txt का उपयोग करें।

विषय-सूची

• Shannon क्या है?
• Shannon एक्शन में
• त्वरित आरंभ
• मुख्य क्षमताएँ
• संस्करण
• आर्किटेक्चर
• दस्तावेज़ीकरण
• सुरक्षा, दायरा और सीमाएँ
• लाइसेंस
• Keygraph के बारे में
• समुदाय और सहायता

Shannon क्या है?

Shannon Keygraph द्वारा विकसित एक स्वायत्त AI पेंटेस्टर है। यह सोर्स-कोड विश्लेषण को लाइव एक्सप्लॉइटेशन के साथ जोड़कर वेब एप्लिकेशन और उनके अंतर्निहित API की सुरक्षा जाँच करता है।

Shannon आपके वेब एप्लिकेशन के सोर्स कोड का विश्लेषण करके संभावित हमले के वैक्टर की पहचान करता है, फिर चल रहे एप्लिकेशन और उसके API के विरुद्ध वास्तविक एक्सप्लॉइट चलाने के लिए ब्राउज़र ऑटोमेशन और कमांड-लाइन टूल का उपयोग करता है। अंतिम रिपोर्ट में केवल वही कमजोरियाँ शामिल की जाती हैं जिनका कार्यशील प्रूफ-ऑफ-कॉन्सेप्ट मौजूद हो।

Shannon एजेंट है। यह रिपॉज़िटरी Shannon Open Source है, जो स्टैंडअलोन पेंटेस्टर है जिसे आप स्वयं चलाते हैं। वही Shannon Keygraph प्लेटफ़ॉर्म को भी शक्ति देता है, जो Keygraph का व्यावसायिक पेंटेस्टिंग उत्पाद है। दोनों की तुलना के लिए संस्करण देखें।

Shannon का अस्तित्व क्यों है

Claude Code और Cursor जैसे टूल की बदौलत, आपकी टीम बिना रुके कोड शिप करती है। लेकिन आपका पेनेट्रेशन टेस्ट? वह साल में एक बार होता है। यह एक बड़ा सुरक्षा अंतर पैदा करता है। बाकी 364 दिनों में, आप अनजाने में कमजोरियों को प्रोडक्शन में शिप कर सकते हैं।

Shannon ऑन-डिमांड, स्वचालित पेनेट्रेशन टेस्टिंग प्रदान करके उस अंतर को बंद करता है, जिसे हर बिल्ड या रिलीज़ के विरुद्ध चलाया जा सकता है।

Shannon एक्शन में

जानबूझकर कमजोर बनाए गए एप्लिकेशनों से नमूना पेनेट्रेशन टेस्ट रिपोर्टें, जो Shannon Open Source द्वारा तैयार की गई हैं:

त्वरित आरंभ

पूर्वापेक्षाएँ

• Docker: वर्कर कंटेनर के लिए आवश्यक।
• Node.js 18+: अनुशंसित npx वर्कफ़्लो के लिए आवश्यक।
• AI प्रदाता क्रेडेंशियल: Anthropic, OpenAI, xAI, या AWS Bedrock - या कोई अन्य प्रदाता। Claude मॉडल अनुशंसित हैं। प्रत्येक प्रदाता के लिए सुझाए गए मॉडल ID, साथ ही गेटवे और कस्टम बेस URL के लिए, AI प्रदाता देखें।
• अपने प्रदाता के साथ साइबर सुरक्षा उपाय स्वीकृत: Anthropic और OpenAI साइबर-सुरक्षा वर्कलोड पर रीयल-टाइम सुरक्षा उपाय लागू करते हैं, जो स्कैन को बीच में बाधित कर सकते हैं। अपनी पहली रन से पहले वैध सुरक्षा परीक्षकों के लिए उनका मार्गदर्शन पूरा करें - AI प्रदाता देखें।

Shannon चलाएँ

[!WARNING] Shannon सक्रिय रूप से एक्सप्लॉइट चलाता है। इसे केवल उन एप्लिकेशन और वातावरणों के विरुद्ध चलाएँ जिनके आप स्वामी हैं या जिनके परीक्षण के लिए आपके पास स्पष्ट लिखित प्राधिकरण है। Shannon को प्रोडक्शन सिस्टम के विरुद्ध न चलाएँ।

# Configure credentials with the interactive wizard.
npx @keygraph/shannon setup

# Run a pentest against a source-available target.
npx @keygraph/shannon start -u https://your-app.com -r /path/to/your-repo

Shannon वर्कर इमेज को Docker Hub से खींचता है, आवश्यक स्थानीय इन्फ्रास्ट्रक्चर शुरू करता है, लक्ष्य रिपॉज़िटरी को एक अस्थायी वर्कर कंटेनर के अंदर केवल-पठनीय माउंट करता है, और परिणामों को एक स्थानीय वर्कस्पेस में लिखता है।

सोर्स बिल्ड, प्रमाणित स्कैन, प्रदाता-विशिष्ट सेटअप और प्लेटफ़ॉर्म नोट्स के लिए, दस्तावेज़ीकरण देखें।

[!TIP] API क्रेडिट के बजाय सब्सक्रिप्शन उपयोग करना पसंद करते हैं?

• OpenAI Codex: Shannon का नवीनतम संस्करण ChatGPT Plus और Pro सब्सक्रिप्शन का समर्थन करता है। आरंभ करने के लिए OpenAI Codex सब्सक्रिप्शन सेटअप गाइड का पालन करें।
• Claude Code: Shannon का नवीनतम संस्करण Claude Code सब्सक्रिप्शन का समर्थन नहीं करता है। Claude Code सब्सक्रिप्शन सेटअप गाइड का पालन करके संस्करण 1.9.0 का उपयोग करें, जो Claude Agent SDK पर बनाया गया अंतिम रिलीज़ है।

मुख्य क्षमताएँ

• एक्सप्लॉइटेशन द्वारा प्रमाण वाली रिपोर्टें: Shannon काल्पनिक चेतावनियों के बजाय प्रतिलिपि योग्य प्रूफ-ऑफ-कॉन्सेप्ट चरणों के साथ सत्यापित खोजों की रिपोर्ट करता है।
• व्हाइट-बॉक्स हमला योजना: Shannon डायनामिक परीक्षण को दिशा देने और यथार्थवादी हमले के पथों पर ध्यान केंद्रित करने के लिए सोर्स-कोड विश्लेषण का उपयोग करता है।
• स्वायत्त निष्पादन: Shannon एक ही कमांड से रिकोनिसांस, कमजोरी विश्लेषण, एक्सप्लॉइटेशन और रिपोर्ट निर्माण शुरू करता है।
• प्रमाणित परीक्षण: कॉन्फ़िगरेशन फ़ाइलें लॉगिन फ़्लो, परीक्षण क्रेडेंशियल, TOTP, ईमेल-आधारित लॉगिन फ़्लो, फोकस क्षेत्र और संलग्नता के नियमों का वर्णन कर सकती हैं।
• OWASP-केंद्रित कवरेज: Shannon शोषण योग्य इंजेक्शन, XSS, SSRF, टूटे प्रमाणीकरण और टूटे प्राधिकरण मुद्दों को लक्षित करता है।
• फिर से शुरू करने योग्य वर्कस्पेस: Shannon बाधित रनों को पूर्ण एजेंटों को दोबारा चलाए बिना फिर से शुरू कर सकता है।

संस्करण

Shannon दो तरीकों से आता है: Shannon Open Source, वह पेंटेस्टर जिसे आप स्वयं चलाते हैं, और Keygraph प्लेटफ़ॉर्म, व्यावसायिक पेंटेस्टिंग उत्पाद जो Shannon को लगातार चलाता है और उसके चारों ओर पूरे AppSec जीवनचक्र को बंद करता है।

Shannon Open Source (यह रिपॉज़िटरी) स्टैंडअलोन पेंटेस्टर है: उन वेब एप्लिकेशन और API के व्हाइट-बॉक्स, एक्सप्लॉइटेशन-द्वारा-प्रमाण परीक्षण के लिए एक CLI एजेंट जिनके आप स्वामी हैं या जिनका परीक्षण करने के लिए अधिकृत हैं। यह आपके सोर्स को पढ़ता है, हमलों की योजना बनाता है, वास्तविक एक्सप्लॉइट चलाता है, और केवल वही रिपोर्ट करता है जिसे वह साबित कर सकता है। यह ऑन-डिमांड चलता है और उस क्षेत्र में पूर्ण है। आप इसे एक लक्ष्य की ओर इंगित करते हैं, यह पेंटेस्ट करता है, यह रिपोर्ट करता है।

Keygraph प्लेटफ़ॉर्म Shannon द्वारा संचालित एंटरप्राइज़-रेडी, निरंतर पेंटेस्टिंग उत्पाद है। Keygraph प्लेटफ़ॉर्म में, Shannon का एक उन्नत बिल्ड एक कठोर, ऑर्केस्ट्रेटेड वातावरण में लगातार चलता है, जिसे Keygraph के पूर्ण कोड-विश्लेषण स्टैक से पोषित किया जाता है। उस इंजन के चारों ओर, प्लेटफ़ॉर्म विश्लेषण से लेकर सत्यापित फिक्स तक, पूरे कमजोरी जीवनचक्र को बंद कर देता है:

• विश्लेषण (Analyze): कोड प्रॉपर्टी ग्राफ़ SAST, रीचैबिलिटी के साथ SCA, सीक्रेट्स, IaC और कंटेनर स्कैनिंग। अपने आप में प्रथम श्रेणी की पहचान, और वह संदर्भ जो Shannon के हमलों को तेज़ करता है।
• प्रमाण (Prove): स्वायत्त ब्लैक-बॉक्स और सोर्स-अवेयर व्हाइट-बॉक्स पेंटेस्ट काल्पनिक अलर्ट के बजाय उम्मीदवार खोजों को सिद्ध, शोषित कमजोरियों में बदल देते हैं।
• प्रबंधन (Manage): प्रति रिपॉज़िटरी प्रति कमजोरी एक विहित रिकॉर्ड, हर स्रोत में डिडुप्लिकेटेड, स्वामित्व, स्थिति, SLA ट्रैकिंग, डैशबोर्ड और द्विदिश Jira सिंक के साथ।
• सुधार और सत्यापन (Remediate and verify): पैच स्वचालित रूप से लिखे जाते हैं और डिलीवरी से पहले पैच किए गए कोड के विरुद्ध दोबारा परीक्षण किए जाते हैं, जो स्वतः-लागू होने के बजाय आपके मौजूदा समीक्षा वर्कफ़्लो में उतरते हैं।
• तैनाती (Deploy): सेल्फ-होस्टेड और एयर-गैप्ड वातावरण, सख्त ब्रिंग-योर-ओन-की मॉडल एक्सेस, और ग्राहक-नियंत्रित LLM गेटवे पैटर्न, ताकि सोर्स, परिणाम और मॉडल ट्रैफ़िक आपकी परिधि के अंदर रहे।

Shannon Keygraph प्लेटफ़ॉर्म के केंद्र में प्रमाण इंजन है। Shannon Open Source आपको वह इंजन स्वयं चलाने के लिए देता है। Keygraph प्लेटफ़ॉर्म Shannon को निरंतर विश्लेषण, खोज प्रबंधन, सुधार, सत्यापन और एंटरप्राइज़ तैनाती के साथ घेरता है।

Keygraph वेबसाइट पर और जानें, Keygraph प्लेटफ़ॉर्म तकनीकी अवलोकन पढ़ें, निःशुल्क ट्रायल शुरू करें या डेमो बुक करें, या [email protected] पर संपर्क करें।

आर्किटेक्चर

Shannon एक मल्टी-एजेंट वर्कफ़्लो का उपयोग करता है जो सोर्स-कोड विश्लेषण को लाइव एक्सप्लॉइटेशन के साथ जोड़ता है:

        ┌──────────────────────┐
        │   Pre-Reconnaissance │
        │   (source code scan) │
        └──────────┬───────────┘
                   │
                   ▼
        ┌──────────────────────┐
        │   Reconnaissance     │
        │  (attack surface     │
        │   mapping)           │
        └──────────┬───────────┘
                   │
                   ▼
        ┌──────────┴───────────┐
        │          │           │
        ▼          ▼           ▼
  ┌───────────┐ ┌───────────┐ ┌───────────┐
  │ Vuln      │ │ Vuln      │ │   ...     │
  │(Injection)│ │  (XSS)    │ │           │
  └─────┬─────┘ └─────┬─────┘ └─────┬─────┘
        │              │             │
        ▼              ▼             ▼
  ┌───────────┐ ┌───────────┐ ┌───────────┐
  │ Exploit   │ │ Exploit   │ │   ...     │
  │(Injection)│ │  (XSS)    │ │           │
  └─────┬─────┘ └─────┬─────┘ └─────┬─────┘
        │              │             │
        └──────┬───────┴─────────────┘
               │
               ▼
        ┌──────────────────────┐
        │      Reporting       │
        └──────────────────────┘

उच्च स्तर पर:

• प्री-रिकोनिसांस (Pre-reconnaissance) रिपॉज़िटरी से फ्रेमवर्क, एंट्री पॉइंट, डेटा फ़्लो और संभावित हमले की सतहों की पहचान करता है।
• रिकोनिसांस (Reconnaissance) लाइव एप्लिकेशन का अन्वेषण करता है और रनटाइम व्यवहार को कोड-स्तरीय संदर्भ के साथ सहसंबंधित करता है।
• कमजोरी विश्लेषण इंजेक्शन, XSS, SSRF, प्रमाणीकरण और प्राधिकरण के लिए विशेष एजेंट चलाता है।
• एक्सप्लॉइटेशन वास्तविक प्रूफ-ऑफ-कॉन्सेप्ट हमलों का प्रयास करता है और उन परिकल्पनाओं को त्याग देता है जिन्हें साबित नहीं किया जा सकता।
• रिपोर्टिंग सत्यापित खोजों, साक्ष्य और सुधार मार्गदर्शन को एक अंतिम Markdown रिपोर्ट में संकलित करती है।

प्रत्येक स्कैन एक अलग-थलग वर्कस्पेस और प्रति-आह्वान ऑर्केस्ट्रेशन के साथ एक अस्थायी Docker कंटेनर में चलता है।

दस्तावेज़ीकरण

परिचालन विवरण के लिए इन गाइडों का उपयोग करें:

सुरक्षा, दायरा और सीमाएँ

Shannon एक निष्क्रिय स्कैनर नहीं है। इसके एक्सप्लॉइटेशन एजेंट उपयोगकर्ता बना सकते हैं, फ़ॉर्म सबमिट कर सकते हैं, एप्लिकेशन स्थिति को बदल सकते हैं, आउटबाउंड अनुरोध ट्रिगर कर सकते हैं, और अन्यथा लक्ष्य प्रणाली को प्रभावित कर सकते हैं। डिस्पोजेबल डेटा के साथ सैंडबॉक्स्ड, स्टेजिंग या स्थानीय विकास वातावरण का उपयोग करें।

Shannon का उपयोग कानूनी और नैतिक रूप से करने की ज़िम्मेदारी आपकी है। Shannon को उन सिस्टम, रिपॉज़िटरी या एप्लिकेशन की ओर न इंगित करें जिनके आप स्वामी नहीं हैं या जिनके परीक्षण के लिए आपके पास स्पष्ट प्राधिकरण नहीं है।

महत्वपूर्ण सीमाएँ:

• Shannon Open Source सक्रिय रूप से शोषण योग्य मुद्दों जैसे इंजेक्शन, XSS, SSRF, टूटे प्रमाणीकरण और टूटे प्राधिकरण पर केंद्रित है। कमजोर निर्भरताओं और असुरक्षित कॉन्फ़िगरेशन सहित व्यापक स्थैतिक-विश्लेषण कवरेज, Keygraph प्लेटफ़ॉर्म के माध्यम से दिया जाता है।
• खोजों के लिए अभी भी मानव समीक्षा आवश्यक है। LLM-जनित रिपोर्टों में कमज़ोर रूप से समर्थित या गलत विवरण हो सकते हैं।
• Shannon आधिकारिक रूप से Claude मॉडल के साथ समर्थित है। छोटे, वैकल्पिक या प्रॉक्सी वाले गैर-Claude मॉडल अधूरे या अस्थिर हो सकते हैं।
• एक पूर्ण रन में लगभग 1 से 1.5 घंटे लग सकते हैं और मॉडल मूल्य निर्धारण और एप्लिकेशन जटिलता के आधार पर LLM API लागत लग सकती है।
• अविश्वसनीय या प्रतिकूल कोडबेस को स्कैन न करें। AI-संचालित टूल जो सोर्स कोड पढ़ते हैं, प्रॉम्प्ट इंजेक्शन के संपर्क में आ सकते हैं।

Shannon को किसी नए वातावरण में चलाने से पहले पूरी सुरक्षा और सीमाएँ गाइड पढ़ें।

लाइसेंस

Shannon Open Source GNU Affero General Public License v3.0 के अंतर्गत लाइसेंस प्राप्त है।

वाणिज्यिक और एंटरप्राइज़ लाइसेंस उन संगठनों के लिए उपलब्ध है जिन्हें अलग लाइसेंस शर्तों, वाणिज्यिक सहायता, निजी पुनर्वितरण, प्रबंधित-सेवा उपयोग, या व्यापक तैनाती विकल्पों की आवश्यकता होती है, जिसमें Keygraph प्लेटफ़ॉर्म भी शामिल है।

वाणिज्यिक लाइसेंसिंग के लिए, [email protected] पर संपर्क करें।

Keygraph के बारे में

Keygraph Shannon के पीछे की कंपनी है। यह Keygraph प्लेटफ़ॉर्म भी बनाती है, जो व्यावसायिक एजेंटिक पेंटेस्टिंग उत्पाद है जो पूरे AppSec जीवनचक्र को बंद करता है और अपने पेंटेस्टिंग इंजन के रूप में Shannon का उन्नत बिल्ड चलाता है।

समुदाय और सहायता

सामुदायिक कार्यालय समय बग, तैनाती और कॉन्फ़िगरेशन प्रश्नों में व्यावहारिक सहायता के लिए उपलब्ध है।

• US/EU: गुरुवार, सुबह 10:00 बजे PT
• एशिया: गुरुवार, दोपहर 2:00 बजे IST
• स्लॉट बुक करें

प्रश्न पूछने, फ़ीडबैक साझा करने और अन्य Shannon उपयोगकर्ताओं से जुड़ने के लिए Discord से जुड़ें।

इस समय, Keygraph बाहरी कोड योगदान स्वीकार नहीं कर रहा है। बग रिपोर्ट और फ़ीचर अनुरोधों के लिए Issues स्वागत योग्य हैं:

• बग रिपोर्ट करें
• फ़ीचर सुझाएँ

जुड़े रहें:

• Keygraph वेबसाइट
• Twitter/X: @KeygraphHQ
• LinkedIn: Keygraph

Keygraph द्वारा निर्मित