Shannon 从 Docker Hub 拉取 worker 镜像，启动所需的本地基础设施，将目标仓库以只读方式挂载到临时 worker 容器中，并将结果写入本地工作区。

有关源码构建、认证扫描、特定于提供商的设置以及平台说明，请参阅[文档](#documentation)。

> [!TIP]
> **更倾向于使用订阅而不是 API 额度？**
>
> - **OpenAI Codex：** 最新版 Shannon 支持 ChatGPT Plus 和 Pro 订阅。请按照 [OpenAI Codex 订阅设置指南](https://github.com/keygraphhq/shannon/blob/main/docs/ai-providers.md#openai-codex-chatgpt-pluspro-subscription) 开始使用。
> - **xAI (Grok)：** 最新版 Shannon 支持 xAI 订阅。请按照 [xAI 订阅设置指南](https://github.com/keygraphhq/shannon/blob/main/docs/ai-providers.md#xai-grok-subscription) 开始使用。
> - **Claude Code：** 最新版 Shannon 不支持 Claude Code 订阅。请按照 [Claude Code 订阅设置指南](https://github.com/keygraphhq/shannon/blob/main/docs/ai-providers.md#claude-code-subscription) 使用版本 `1.9.0`，该版本是基于 Claude Agent SDK 构建的最终版本。

## 关键能力

- **基于利用验证的报告**：Shannon 报告经过验证的发现，并附带可复现的概念验证步骤，而非推测性警告。
- **白盒攻击规划**：Shannon 使用源代码分析来指导动态测试，并聚焦于现实可行的攻击路径。
- **自主执行**：Shannon 通过单条命令即可启动侦察、漏洞分析、利用和报告生成。
- **认证测试**：配置文件可以描述登录流程、测试凭据、TOTP、基于电子邮件的登录流程、重点领域以及交战规则。
- **OWASP 重点覆盖**：Shannon 针对可利用的注入、XSS、SSRF、失效的身份认证和失效的访问控制问题。
- **可恢复的工作区**：Shannon 可以恢复中断的运行，而无需重新运行已完成的代理。
- **机器可读输出**：Shannon 以结构化 JSON 形式输出发现结果，并在利用模式扫描中默认输出 SARIF 2.1.0（可通过 `report.sarif: "false"` 选择退出）。SARIF 是用于静态分析结果的 OASIS 标准，因此发现结果可以流入任何读取它的代码扫描服务、漏洞管理平台、安全仪表板或 CI/CD 流水线。
- **自带密钥，与提供商无关**：Shannon 可在 Anthropic、OpenAI、xAI、AWS Bedrock 以及任何支持 Anthropic Messages API 或 OpenAI Chat Completions 或 Responses API 的端点上运行，包括通过 Ollama、vLLM 或 LM Studio 提供的自托管模型，以及 OpenRouter 和 LiteLLM 等网关。您提供凭据，因此源代码和模型流量都保留在您的基础设施内。本地和自托管模型在技术上受支持，但不推荐使用：它们可能无法像前沿模型那样可靠地遵循 Shannon 的指令或工具使用约束，因此只有在您了解所选模型行为的情况下才应选择该路径。

## 版本

Shannon 以两种方式提供：**Shannon Open Source**，即您自行运行的渗透测试工具，以及 **Keygraph 平台**，即商业渗透测试产品，它持续运行 Shannon 并围绕其闭环整个 AppSec 生命周期。

**Shannon Open Source**（本仓库）是独立的渗透测试工具：一个 CLI 代理，用于对您拥有或获授权测试的 Web 应用程序和 API 进行白盒、基于利用验证的测试。它读取您的源代码，规划攻击，执行真实利用，并且只报告它能够证明的内容。它按需运行，在该领域内功能完备。您将其指向目标，它进行渗透测试，然后生成报告。

**Keygraph 平台**是由 Shannon 驱动的企业级、持续渗透测试产品。在 Keygraph 平台中，Shannon 的增强版本在由 Keygraph 完整代码分析栈提供支持的加固、编排环境中持续运行。在该引擎周围，平台闭环了整个漏洞生命周期，从分析到经过验证的修复：

- **分析**：Code Property Graph SAST、带可达性的 SCA、密钥、IaC 和容器扫描。这些检测本身即为一流能力，同时也为 Shannon 的攻击提供上下文以增强其精准度。
- **证明**：自主黑盒和源码感知的白盒渗透测试将候选发现转化为已证明、可利用的漏洞，而非推测性警报。
- **管理**：每个仓库中每个漏洞对应一条规范记录，跨所有来源去重，并包含所有权、状态、SLA 跟踪、仪表板以及双向 Jira 同步。
- **修复与验证**：自动编写补丁，并在交付前针对修补后的代码重新测试，进入您现有的审查工作流而非自动应用。
- **部署**：自托管和隔离环境、严格的自带密钥模型访问以及客户控制的 LLM 网关模式，确保源代码、结果和模型流量保留在您的边界内。

Shannon 是 Keygraph 平台核心的证明引擎。Shannon Open Source 让您可以自行运行该引擎。Keygraph 平台则围绕 Shannon 提供持续分析、发现管理、修复、验证和企业部署。

| AppSec 生命周期阶段 | Shannon Open Source | Keygraph 平台 |
| --- | --- | --- |
| 分析 | 对源代码进行基本的 LLM 直通以规划攻击 | 实际代码库解析，外加 Code Property Graph、SAST、带可达性的 SCA、密钥、IaC 和容器 |
| 渗透测试与证明 | 仅白盒，基于利用验证 | 增强白盒，外加黑盒和灰盒模式，持续运行 |
| 管理发现 | 本地 Markdown 报告 | 规范发现系统：跨来源去重、所有权、SLA、仪表板、Jira 同步以及专业渗透测试级 PDF 报告 |
| 修复与验证 | 根据报告手动修复，然后重新运行完整扫描以验证 | 自动化修复：打开包含修复的 PR，通过点对点重新测试验证，无需重新运行完整扫描 |
| 部署与运维 | 本地 CLI 和 Docker worker | 自托管、隔离、BYOK、持续运行、企业集成 |
| 许可证与支持 | AGPL-3.0，社区 | 商业，受支持 |

在 [Keygraph 网站](https://keygraph.io) 上了解更多信息，阅读 [Keygraph 平台技术概述](https://github.com/keygraphhq/shannon/blob/main/docs/keygraph-platform.md)，开始免费试用或预约[演示](https://cal.com/team/keygraph/shannon-pro)，或联系 [[email protected]](mailto:[email protected])。

## 架构

Shannon 使用多代理工作流，将源代码分析与实时利用相结合：```text
        ┌──────────────────────┐
        │   Pre-Reconnaissance │
        │   (source code scan) │
        └──────────┬───────────┘
                   │
                   ▼
        ┌──────────────────────┐
        │   Reconnaissance     │
        │  (attack surface     │
        │   mapping)           │
        └──────────┬───────────┘
                   │
                   ▼
        ┌──────────┴───────────┐
        │          │           │
        ▼          ▼           ▼
  ┌───────────┐ ┌───────────┐ ┌───────────┐
  │ Vuln      │ │ Vuln      │ │   ...     │
  │(Injection)│ │  (XSS)    │ │           │
  └─────┬─────┘ └─────┬─────┘ └─────┬─────┘
        │              │             │
        ▼              ▼             ▼
  ┌───────────┐ ┌───────────┐ ┌───────────┐
  │ Exploit   │ │ Exploit   │ │   ...     │
  │(Injection)│ │  (XSS)    │ │           │
  └─────┬─────┘ └─────┬─────┘ └─────┬─────┘
        │              │             │
        └──────┬───────┴─────────────┘
               │
               ▼
        ┌──────────────────────┐
        │      Reporting       │
        └──────────────────────┘