Shannon AI 渗透测试器

Shannon 是什么

Shannon 是由 Keygraph 开发的一款自主 AI 渗透测试代理，专注于 Web 应用及其 API 的安全测试。它通过分析源代码识别潜在攻击向量，并利用浏览器自动化和命令行工具对运行中的应用执行真实漏洞利用。只有具备可工作 PoC 的漏洞才会被写入最终报告，这一原则被称为「无利用，不报告」。

Shannon 以开源形式发布，可在本地命令行运行，同时也为 Keygraph 的商业版本（Pro 和 Enterprise）提供核心能力。

为什么需要 Shannon

现代开发团队借助 Claude Code、Cursor 等工具持续交付代码，但渗透测试往往一年只做一次，导致大量潜在漏洞在其余时间被带入生产环境。Shannon 旨在将渗透测试左移到软件开发生命周期（SDLC）中，支持按构建或发布节奏进行按需自动化安全测试。

Shannon 并非要取代人类渗透测试专家，而是覆盖那些因安全团队人力有限而长期缺乏测试的内部应用、API 和快速迭代服务，让专家能专注于需要业务判断的高风险领域。

核心能力

• 源码分析：解析应用源码，识别攻击路径和潜在漏洞。
• 真实利用：通过浏览器自动化和命令行工具对运行中的应用执行漏洞利用，验证漏洞真实性。
• 报告生成：仅报告成功利用的漏洞，并支持 SARIF 格式输出，便于集成到安全工具链。
• 多 AI 提供商支持：可运行在 Anthropic、OpenAI、xAI、AWS Bedrock 等提供商上，也支持本地或自托管模型。
• CI/CD 集成：提供 GitHub Actions 等集成方式，便于在流水线中自动执行安全测试。

快速开始

环境要求

• Docker：用于运行 worker 容器。
• Node.js 18+：推荐使用 npx 工作流。
• AI 提供商凭证：支持 Anthropic、OpenAI、xAI、AWS Bedrock 等，也可配置其他兼容提供商。

启动方式

使用官方提供的交互式启动器：

npx @keygraph/shannon@latest

启动器会引导完成初始设置和第一次渗透测试。

架构与工作流程

Shannon 以代理形式运行，核心流程包括：

1. 源码分析：读取目标应用源码，构建攻击面模型。
2. 攻击路径识别：基于源码和配置推断可能的漏洞利用链。
3. 动态验证：对运行中的应用执行真实利用尝试。
4. 报告输出：生成包含已验证漏洞的报告，支持 SARIF。

适用场景

• Web 应用与 API 的安全测试
• CI/CD 流水线中的自动化安全扫描
• 开发阶段的安全左移实践
• 内部应用与快速迭代服务的安全评估
• 红队演练中的自动化漏洞验证

注意事项

• Shannon 需要访问目标应用源码，并依赖 Docker 和 Node.js 环境。
• 其效果受所选 AI 模型能力影响，复杂业务逻辑漏洞可能仍需人工介入。
• 使用前应确保在授权范围内对目标进行测试，遵守相关法律法规。
• 项目采用 AGPL-3.0 许可证，商业使用需注意合规要求。