keygraphhq/shannonShannon è un penetration tester AI autonomo in modalità white-box per applicazioni web e API. Analizza il tuo codice sorgente, identifica i vettori di attacco ed esegue exploit reali per dimostrare le vulnerabilità prima che raggiungano la produzione.
[!NOTE] Verifica cyber per i modelli Anthropic e OpenAI: completa il programma di verifica cyber del tuo provider per prevenire malfunzionamenti e rifiuti del modello durante i carichi di lavoro cyber.
Analizza il tuo codice sorgente, identifica i percorsi di attacco ed esegue exploit reali per dimostrare le vulnerabilità prima che raggiungano la produzione. Nessun exploit, nessun report.
Questo repository è Shannon: l'agente open-source completo, eseguito localmente dalla tua riga di comando.
Avvia Shannon
npx @keygraph/shannon@latest
Il launcher interattivo ti guiderà attraverso la configurazione e il tuo primo pentest.
[!TIP] Agenti AI e LLM: inizia da llms.txt per una mappa concisa di questo repository, oppure usa llms-full.txt per il README e la documentazione combinati in un unico file.
Shannon è un pentester AI autonomo sviluppato da Keygraph. Esegue test di sicurezza su applicazioni web e sulle relative API sottostanti combinando l'analisi del codice sorgente con lo sfruttamento in tempo reale.
Shannon analizza il codice sorgente della tua applicazione web per identificare potenziali vettori di attacco, quindi utilizza l'automazione del browser e strumenti da riga di comando per eseguire exploit reali contro l'applicazione in esecuzione e le sue API. Solo le vulnerabilità con una proof-of-concept funzionante vengono incluse nel report finale.
Shannon è l'agente. Questo repository è Shannon, il pentester open-source che esegui tu stesso. Lo stesso Shannon alimenta anche le edizioni commerciali di Keygraph, Pro ed Enterprise. Vedi Edizioni per un confronto tra Shannon, Pro, Enterprise e il Community Program.
Grazie a strumenti come Claude Code e Cursor, il tuo team rilascia codice senza sosta. Ma il tuo penetration test? Avviene una volta all'anno. Questo crea un enorme divario di sicurezza. Per gli altri 364 giorni, potresti rilasciare in produzione vulnerabilità senza saperlo.
Shannon colma questo divario fornendo penetration testing automatizzato e on-demand che può essere eseguito su ogni build o release.
Prende il nome da Claude Shannon, il padre della teoria dell'informazione. Al suo nucleo, il pentesting è un problema di informazione: ogni sonda riduce l'incertezza sullo stato di un sistema. I migliori strumenti massimizzano il segnale ottenuto da ogni richiesta, trasformando quei bit di conoscenza in un percorso di exploit.
Inoltre, volevamo che potessi dire: "Ehi Claude, esegui Shannon" per trovare tutte le falle di sicurezza nella tua app vibe-coded.
Shannon è progettato per lavorare al fianco di pentester e red teamer esperti, non per sostituirli. I grandi pentester comprendono il business, concatenano gli attacchi in modi che nessuno aveva previsto e portano anni di giudizio che i modelli attuali non possono eguagliare.
Shannon risolve un problema diverso: c'è molto più software da testare di quanto i team di sicurezza abbiano tempo per coprire. I sistemi critici ricevono valutazioni periodiche da parte di esperti, mentre la lunga coda di app interne, API e servizi in rapida evoluzione raramente viene testata del tutto.
Shannon sposta il pentesting a sinistra nel ciclo di vita dello sviluppo software (SDLC). Usalo per eseguire test basati sullo sfruttamento contro ambienti di staging e release alla cadenza con cui vengono effettivamente distribuiti, e riserva il tempo degli esperti umani ai rischi che richiedono qualcuno che conosca l'organizzazione.
Questi report provengono da scansioni Shannon OSS di Photoview 2.4.0, una delle applicazioni nel confronto di Doyensec tra Aikido e XBOW. Abbiamo eseguito Shannon contro la stessa versione dell'applicazione e valutato i suoi risultati separatamente. Leggi lo studio Doyensec e il nostro confronto successivo di Shannon per la metodologia, i limiti, i costi e i risultati.