KeygraphHQ/shannon

解決する課題

Shannon は、継続的なコード配信と頻度の低い手動ペネトレーションテストの間のセキュリティギャップを埋める自律型AIペネトレーションテストツールです。WebアプリケーションおよびAPIの脆弱性を本番環境に到達する前に特定・検証し、再現可能なPoC（証明可能な概念）で確認できない脆弱性は報告しないことで、推測型スキャナーによるノイズを削減します。

動作方法

Shannon はソースコード解析とライブエクスプロイトを組み合わせます。まず、アプリケーションのアーキテクチャ、信頼境界、データフローをマッピングして潜在的な攻撃経路を特定します。その後、ブラウザ自動化とコマンドラインツールを使用して、実行中のアプリケーションに対して本物のPoC攻撃を実行します。最終レポートには、実際にエクスプロイトに成功した結果のみが含まれます。

対象ユーザー

個人開発者や小さなチーム向けに設計されており、ローカル開発ワークフローまたはCI/CDパイプライン（GitHub ActionsやGitLab CI/CDなど）に、エクスプロイトを裏付けとする自動化されたセキュリティテストを統合したい方を対象としています。

特徴

• エクスプロイトなし、報告なし：再現可能なPoCで確認された脆弱性のみを報告。
• 自律的実行：1つのコマンドでリコンナッサンス、分析、エクスプロイト、レポート作成をすべて自動処理。
• プロバイダ非依存：Anthropic、OpenAI、xAI、AWS Bedrockに加え、Ollama、vLLM、LM Studioを介してローカルモデルもサポート。
• CI/CD統合：GitHub ActionsおよびGitLab CI/CDにネイティブ対応し、検証された脆弱性の深刻度に基づいてリリースをブロック可能。
• プライベート設計：ユーザー自身のインフラ上で実行され、結果はローカルに保存されます。