[!NOTE] Anthropic および OpenAI モデルのサイバー検証: サイバーワークロード中のモデルの障害や拒否を防ぐため、プロバイダーのサイバー検証プログラムを完了してください。

Shannon、Keygraph による Web アプリと API 向け AI ペンテスター

Shannon は、Web アプリケーションと API 向けの自律型 AI ペンテスターです。

ソースコードを分析し、攻撃経路を特定し、実際のエクスプロイトを実行して、本番環境に到達する前に脆弱性を証明します。エクスプロイトなしに、レポートはなし。

このリポジトリは Shannon です。コマンドラインからローカルで実行できる、完全なオープンソースエージェントです。

Shannon を起動

npx @keygraph/shannon@latest

_{インタラクティブなランチャーがセットアップと最初のペネトレーションテストを案内します。}

[!TIP] AIエージェントとLLM: このリポジトリの簡潔なマップについてはllms.txtから始めてください。READMEとドキュメントを1つのファイルにまとめたものが必要な場合はllms-full.txtを使用してください。

目次
Shannonとは？
Shannonの実際の動作
クイックスタート
- 前提条件
- Shannonの実行
主な機能
CI/CD統合
- GitHub Actions
エディション
アーキテクチャ
ドキュメント
安全性、スコープ、制限事項
ライセンス
謝辞
Keygraphについて
コミュニティとサポート
よくある質問

Shannonとは？

ShannonはKeygraphが開発した自律型AIペネトレーションテスターです。ソースコード分析とライブエクスプロイトを組み合わせることで、Webアプリケーションとその基盤となるAPIのセキュリティテストを実行します。

ShannonはWebアプリケーションのソースコードを分析して潜在的な攻撃ベクトルを特定し、ブラウザ自動化とコマンドラインツールを使用して、実行中のアプリケーションとそのAPIに対して実際のエクスプロイトを実行します。動作する概念実証（PoC）がある脆弱性のみが最終レポートに含まれます。

Shannonはエージェントです。このリポジトリは、あなた自身で実行するオープンソースのペネトレーションテスターであるShannonです。同じShannonはKeygraphの商用エディションであるProとEnterpriseも支えています。ShannonがPro、Enterprise、およびCommunity Programとどう比較されるかについてはエディションを参照してください。

Shannonが存在する理由

Claude CodeやCursorのようなツールのおかげで、あなたのチームは絶え間なくコードを出荷しています。しかしペネトレーションテストは？それは年に一度しか行われません。これにより巨大なセキュリティギャップが生じます。残りの364日間、あなたは知らず知らずのうちに脆弱性を本番環境に出荷している可能性があります。

Shannonは、あらゆるビルドやリリースに対して実行できるオンデマンドの自動ペネトレーションテストを提供することで、このギャップを埋めます。

なぜ「Shannon」なのか？

情報理論の父であるクロード・シャノンにちなんで名付けられました。ペネトレーションテストの本質は情報の問題です。あらゆるプローブはシステムの状態に関する不確実性を減らします。優れたツールは、リクエストごとに得られるシグナルを最大化し、その知識のビットをエクスプロイト経路へと変えます。

また、「ねえクロード、シャノンを実行して」と言うだけで、バイブコーディングしたアプリのセキュリティ上の欠陥をすべて見つけられるようにしたいと考えました。

人間のペネトレーションテスターの代替ではありません

Shannonは、熟練のペネトレーションテスターやレッドチーマーと並んで機能するように作られており、彼らを置き換えるものではありません。優れたペネトレーションテスターはビジネスを理解し、誰も予想しなかった方法で攻撃を連鎖させ、現在のモデルには及ばない長年の判断力を発揮します。

Shannonは別の問題を解決します。セキュリティチームが対応できる時間よりもはるかに多くのソフトウェアがテストを必要としています。重要なシステムは定期的に専門家による評価を受けますが、社内アプリ、API、変化の速いサービスといったロングテールはほとんどテストされないままです。

Shannonはペネトレーションテストをソフトウェア開発ライフサイクル（SDLC）のより早い段階へとシフトさせます。実際に出荷されるケイデンスでステージング環境やリリースに対してエクスプロイトに裏付けられたテストを実行し、組織を熟知した人材を必要とするリスクのために専門家の時間を確保できます。

Shannonの実際の動作

Shannonが自律型ペネトレーションテストを実行している様子

これらのレポートは、DoyensecによるAikidoとXBOWの比較に含まれるアプリケーションの一つであるPhotoview 2.4.0に対するShannon OSSスキャンの結果です。同じアプリケーションバージョンに対してShannonを実行し、その結果を独自に評価しました。手法、制限事項、コスト、結果については、Doyensecの調査と当社のShannonフォローアップ比較をご覧ください。

モデル	レポート	SARIF
DeepSeek v4 Flash	レポートを見る	SARIF
Grok 4.6	レポートを見る	SARIF
Claude Opus 5	レポートを見る	SARIF

クイックスタート

前提条件

Docker: ワーカーコンテナに必要です。
Node.js 18+: 推奨されるnpxワークフローに必要です。
AIプロバイダーの認証情報: ShannonはAnthropic、OpenAI、xAI、AWS Bedrock、およびハーネスカタログ内のその他あらゆるプロバイダーで動作します。それぞれカスタムベースURLを介してプロキシやLLMゲートウェイを指定でき、カタログにないモデルはカスタムモデル設定で記述できます。キーはご自身で用意し、Keygraphがモデル通信をプロキシすることは決してありません。Shannonはプロバイダーに依存しません。推奨モデルIDについてはAIプロバイダーをご覧ください。
プロバイダー側でのサイバーセーフガードの解除: AnthropicとOpenAIはサイバーセキュリティのワークロードにリアルタイムのセーフガードを適用しており、スキャン実行中に中断されることがあります。初回実行前に、正規のセキュリティテスター向けのガイダンスを完了してください。AIプロバイダーおよびサイバー検証に関するお知らせをご覧ください。

Shannonの実行

[!WARNING] Shannonはエクスプロイトを実際に実行します。所有しているか、テストについて明示的な書面による許可を得ているアプリケーションと環境に対してのみ実行してください。本番システムに対してShannonを実行しないでください。

# Configure credentials with the interactive wizard.
npx @keygraph/shannon@latest setup

shannon

人気