Shannon 今日发布

Shannon 是由 Keygraph 团队开发的开源 AI 渗透测试智能体，专门面向 Web 应用和 API 安全测试。与传统人工渗透测试不同，Shannon 能够全自动执行漏洞发现和利用验证：它先分析目标应用的源代码识别攻击路径，再通过浏览器自动化和命令行工具对运行中的应用及其 API 发起真实攻击，最终只汇报有可复现攻击证明的高置信度漏洞。整个流程从侦察、漏洞分析、利用到报告生成，均由 AI 智能体自主完成，一条命令即可启动。

Shannon 的核心能力体现在四个方面：第一，基于源代码的白盒攻击规划，通过代码分析引导动态测试方向，聚焦真实可利用的攻击路径；第二，无假设的漏洞证明报告，以可复现的步骤替代猜测性警告，产出的渗透测试报告可直接提交给开发团队修复；第三，自主执行与可恢复工作空间，支持中断后继续扫描而不重复已完成的工作；第四，支持有认证的测试场景，可配置登录流程、测试凭证、TOTP 邮箱登录等认证信息，覆盖 OWASP Top 10 各类注入、XSS、SSRF、身份验证失效和授权失效等常见漏洞类型。

从定位来看，Shannon 填补了现代开发流程中「代码持续上线 vs. 渗透测试一年一次」的安全缺口。在 CI/CD 流水线中集成 Shannon，可以让团队在每次构建或发布时都获得一次自动化渗透测试，将漏洞拦截在上线之前。开源版本为独立 CLI 工具，适合有安全意识的开发团队自行部署；有认证需求的中小企业也可选择 Keygraph 商业平台版本，获得持续完整的应用安全生命周期管理。项目采用 npx 一键安装运行，对 Docker 和 Node.js 环境有基本要求，支持 Anthropic、OpenAI、xAI 等主流 AI 提供商接口。