Shannon: 소스 분석과 실제 익스플로잇 검증을 결합한 오픈소스 AI 펜테스터

키그래프(Keygraph)가 개발한 Shannon은 웹 애플리케이션 및 API 소스 코드를 분석하고 실제 익스플로잇 공격을 수행하여 검증된 취약점만 보고서에 수록하는 자율형 오픈소스 보안 테스팅 에이전트입니다.

이미지 출처: https://github.com/KeygraphHQ/shannon

Shannon은 소스 코드를 분석해 잠재적인 공격 벡터를 식별한 뒤, 브라우저 자동화와 커맨드라인 도구를 사용해 실행 중인 애플리케이션과 API를 대상으로 실제 익스플로잇을 수행합니다. "익스플로잇이 없으면 보고서도 없다(No exploit, no report)"는 원칙에 따라 작동하는 PoC가 확인된 취약점만 최종 보고서에 수록합니다.

주요 기능 및 CI/CD 자동화 연동

Shannon은 개발 라이프사이클 전반에 걸쳐 보안 테스트를 시프트 레프트(Shift-Left)할 수 있도록 설계되었습니다.

• 실제 익스플로잇 검증: 실행 중인 애플리케이션과 API를 대상으로 공격 벡터를 테스트하고, 작동하는 PoC가 확인된 취약점만 보고합니다.
• 결과 보고서 형식: 저장소는 Photoview 2.4.0을 대상으로 한 Shannon OSS 스캔의 PDF 보고서와 SARIF 출력을 링크합니다.
• CI/CD 파이프라인 통합: Shannon은 모든 빌드 또는 릴리즈를 대상으로 자동화된 침투 테스트를 실행할 수 있습니다.
• 프로바이더 유연성: Anthropic, OpenAI, xAI, AWS Bedrock과 프로바이더 카탈로그에서 제공되는 다른 프로바이더를 지원합니다.

빠른 시작과 사용 방법

Shannon은 GNU AGPLv3 라이선스의 오픈소스 프로젝트로, 로컬 환경에서 명령어 한 줄로 인터랙티브 런처를 실행할 수 있습니다.

# 크리덴셜 설정 인터랙티브 위자드 실행
npx @keygraph/shannon@latest setup

# 소스 가용한 타깃 대상 보안 테스트 실행
npx @keygraph/shannon@latest start \
  -u https://your-app.com \
  -r /path/to/your/repo

임시 Docker 워커 컨테이너에서 실행되며, 대상 저장소는 읽기 전용으로 마운트됩니다.

[!WARNING] Shannon은 실제 익스플로잇을 실행합니다. 운영 시스템에서는 실행하지 말고, 본인이 소유했거나 테스트에 대한 명시적인 서면 권한을 받은 애플리케이션과 환경에서만 사용해야 합니다. Anthropic과 OpenAI의 실시간 사이버 보안 세이프가드는 스캔을 중단시킬 수 있으므로 첫 실행 전에 합법적인 보안 테스터를 위한 각 프로바이더의 지침을 완료해야 합니다.

출처

• GitHub: KeygraphHQ/shannon
• X (Mo Elgaraihy): Shannon 관련 게시물