shannon v3.1.0
Shannon é um pentester de IA autônomo de caixa branca para aplicações web e APIs. Ele analisa seu código-fonte, identifica vetores de ataque e executa exploits reais para comprovar vulnerabilidades antes que elas cheguem à produção.
[!NOTE] Shannon 3.0 está disponível: análise de código de segurança mais profunda, descobertas mais rigorosamente verificadas, uma CLI reconstruída, CI/CD nativo, relatórios PDF profissionais e SARIF.
Shannon é um pentester autônomo com IA para aplicações web e APIs.
Ele analisa seu código-fonte, identifica caminhos de ataque e executa exploits reais para provar vulnerabilidades antes que cheguem à produção. Sem exploit, sem relatório.
Este repositório é o Shannon Open Source: o agente completo, executado localmente a partir da sua linha de comando.
Inicie o Shannon
npx @keygraph/shannon@latest
O launcher interativo guiará você pela configuração e pelo seu primeiro pentest.
[!TIP] Agentes de IA e LLMs: comece por llms.txt para um mapa conciso deste repositório, ou use llms-full.txt para o README e a documentação combinados em um único arquivo.
Índice
- Índice
- O que é o Shannon?
- Shannon em Ação
- Início Rápido
- Principais Capacidades
- Integrações de CI/CD
- Edições
- Arquitetura
- Documentação
- Segurança, Escopo e Limitações
- Licença
- Agradecimentos
- Sobre a Keygraph
- Comunidade e Suporte
- Perguntas Frequentes
O que é o Shannon?
Shannon é um pentester autônomo de IA desenvolvido pela Keygraph. Ele realiza testes de segurança em aplicações web e suas APIs subjacentes, combinando análise de código-fonte com exploração ao vivo.
O Shannon analisa o código-fonte da sua aplicação web para identificar possíveis vetores de ataque e, em seguida, usa automação de navegador e ferramentas de linha de comando para executar exploits reais contra a aplicação em execução e suas APIs. Apenas vulnerabilidades com uma prova de conceito funcional são incluídas no relatório final.
Shannon é o agente. Este repositório é o Shannon Open Source, o pentester autônomo que você mesmo executa. O mesmo Shannon também alimenta a plataforma Keygraph, o produto comercial de pentesting da Keygraph. Veja Edições para comparar os dois.
Por que o Shannon Existe
Graças a ferramentas como Claude Code e Cursor, sua equipe entrega código sem parar. Mas o seu teste de intrusão? Ele acontece uma vez por ano. Isso cria uma lacuna de segurança enorme. Nos outros 364 dias, você pode estar enviando vulnerabilidades para produção sem saber.
O Shannon fecha essa lacuna oferecendo testes de intrusão automatizados sob demanda, que podem ser executados a cada build ou release.
Por que "Shannon"?
O nome vem de Claude Shannon, o pai da teoria da informação. Em sua essência, pentesting é um problema de informação: cada sondagem reduz a incerteza sobre o estado de um sistema. As melhores ferramentas maximizam o sinal obtido em cada requisição, transformando esses bits de conhecimento em um caminho de exploração.
Além disso, queríamos que você pudesse dizer: "Ei Claude, execute o Shannon" para encontrar todas as falhas de segurança no seu app vibe-coded.
Não substitui pentesters humanos
O Shannon foi criado para trabalhar ao lado de pentesters e red teamers especialistas, não para substituí-los. Bons pentesters entendem o negócio, encadeiam ataques de formas que ninguém previu e trazem anos de julgamento que os modelos atuais não conseguem igualar.
O Shannon resolve um problema diferente: há muito mais software para testar do que as equipes de segurança têm tempo para cobrir. Sistemas críticos recebem avaliações especializadas periódicas, enquanto a longa cauda de apps internos, APIs e serviços em rápida evolução raramente é testada.
O Shannon desloca o pentesting para a esquerda no ciclo de vida de desenvolvimento de software (SDLC). Use-o para executar testes com respaldo de exploração contra ambientes de staging e releases na cadência em que eles realmente são entregues, e reserve o tempo de especialistas humanos para os riscos que exigem alguém que conheça a organização.
Shannon em Ação
Esses relatórios são de varreduras do Shannon Open Source no Photoview 2.4.0, uma das aplicações na comparação de Aikido e XBOW feita pela Doyensec. Executamos o Shannon contra a mesma versão da aplicação e avaliamos seus resultados separadamente. Leia o estudo da Doyensec e nossa comparação de acompanhamento do Shannon para entender a metodologia, limitações, custos e resultados.