इस प्रोजेक्ट के बारे में

Keygraph द्वारा विकसित Shannon, वेब अनुप्रयोगों और उनके अंतर्निहित APIs के लिए एक स्वायत्त AI पेनेट्रेशन-टेस्टिंग एजेंट है। इसका guiding rule है "no exploit, no report": एक candidate issue केवल तभी finding बन जाता है जब Shannon इसे चल रहे अनुप्रयोग के खिलाफ एक working proof of concept के साथ प्रदर्शित कर सके। यह कैसे काम करता है - Recon और vulnerability analysis लाइव अनुप्रयोग का पता लगाते हैं, runtime behaviour को स्रोत से जोड़ते हैं, और Injection, XSS, SSRF, Authentication और Authorization में विशेषज्ञ agents चलाते हैं। - Agentic security code analysis architecture, trust boundaries, exposed interfaces, dependencies, data flows और high-risk assets को मैप करता है, फिर targeted investigations खोलता है। - Finding reconciliation दोनों candidate streams को एक exploitation queue में मर्ज और de-duplicate करता है। - Exploitation agents वास्तविक proof-of-concept attacks का प्रयास करते हैं; जो कुछ भी प्रदर्शित नहीं होता है, उसे discard कर दिया जाता है। - Reporting में PDF और Markdown reports के साथ attached evidence, साथ ही structured JSON और SARIF 2.1.0 (exploit-mode scans के लिए डिफ़ॉल्ट रूप से लिखा गया) शामिल हैं, जो downstream tools और CI/CD gates के लिए हैं। इसे चलाना - Prerequisites: worker container के लिए Docker, recommended npx workflow के लिए Node.js 18+, और आपके अपने AI provider credentials। - `npx @keygraph/shannon@latest setup` के साथ लॉन्च करें, फिर `npx @keygraph/shannon@latest start -u https://your-app.com -r /path/to/your/repo`। - लक्ष्य repository को एक ephemeral Docker container के अंदर read-only mounted किया जाता है, जिसमें एक isolated workspace होता है; results को एक local workspace में लिखा जाता है, और interrupted scans को resume किया जा सकता है। Configuration और coverage - Authenticated testing, login flows, TOTP और email authentication, focus areas और rules of engagement को सपोर्ट करता है। - OWASP-focused coverage of exploitable injection, XSS, SSRF, broken authentication और broken authorization। - Provider-agnostic और BYOK: Anthropic, OpenAI, xAI और AWS Bedrock built in हैं, अन्य harness-catalogue providers काम करते हैं, custom base URLs proxies या LLM gateways की अनुमति देते हैं, और local models को Ollama, vLLM या LM Studio के माध्यम से serve किया जा सकता है। - Official integrations GitHub Actions और GitLab CI/CD के लिए मौजूद हैं, reports और logs को preserve करते हैं, PR, release और scheduled pentests को सपोर्ट करते हैं, और optionally एक pipeline को fail करते हैं जब एक exploited finding एक configured severity threshold को पूरा करती है। केवल `status: exploited` वाले findings ही severity gates में गिने जाते हैं। Editions और caveats Open-source edition को individual developers और small teams के लिए positioned किया गया है जो local या CI-driven tests चलाते हैं, जबकि commercial Keygraph Enterprise Platform exhaustive agentic SAST, continuous pentesting और full-lifecycle vulnerability management जोड़ता है। Shannon एक passive scanner नहीं है: इसके exploitation agents users बना सकते हैं, forms submit कर सकते हैं, application state को mutate कर सकते हैं और outbound requests को trigger कर सकते हैं। इसका उपयोग केवल उन सिस्टमों के खिलाफ किया जाना चाहिए जो आपके हैं या जिन्हें आप explicit रूप से test करने के लिए अधिकृत हैं, और अधिमानतः sandboxed, staging या local environments के साथ disposable data के साथ। Documented limitations में LLM-generated findings की human review की आवश्यकता, एक full run के लिए लगभग एक से डेढ़ घंटे का समय, संभावित LLM API costs, varying model capability, और untrusted codebases पर pointing करते समय prompt-injection risk शामिल हैं। यह GNU AGPL v3.0 के तहत licensed है, जिसमें commercial licensing अलग से उपलब्ध है।