KeygraphHQ/shannon

해결하는 문제

Shannon은 지속적인 코드 배포와 드문 드문한 수동 펜테스트 사이의 보안 격차를 메우기 위해 설계된 자율형 AI 펜테스트 도구입니다. 애플리케이션과 API의 취약점을 실제 운영 환경에 도달하기 전에 식별하고 검증하여, 재현 가능한 PoC(증명 가능한 개념)로 확인되지 않은 취약성은 보고하지 않음으로써 추측형 스캐너의 노이즈를 줄입니다.

작동 방식

Shannon은 소스 코드 분석과 실시간 공격을 결합합니다. 먼저 애플리케이션의 아키텍처, 신뢰 경계, 데이터 흐름을 매핑하여 잠재적인 공격 경로를 식별합니다. 이후 브라우저 자동화 및 명령줄 도구를 사용하여 실행 중인 애플리케이션 인스턴스에 실제 PoC 공격을 수행합니다. 최종 보고서에는 성공적으로 공격된 발견 사항만 포함됩니다.

대상 사용자

개인 개발자 및 소규모 팀을 위한 도구로, 로컬 개발 워크플로우 또는 CI/CD 파이프라인(GitHub Actions, GitLab CI/CD 등)에 자동화된 공격 기반 보안 테스트를 통합하고자 하는 분들을 대상으로 합니다.

주요 특징

• 공격 없이 보고 없음: 재현 가능한 PoC로 확인된 취약성만 보고합니다.
• 자율 실행: 단일 명령어로 탐지, 분석, 공격, 보고를 모두 처리합니다.
• 공급자 독립: Anthropic, OpenAI, xAI, AWS Bedrock 및 Ollama, vLLM, LM Studio를 통해 로컬 모델까지 지원하는 다양한 AI 공급자와 호환됩니다.
• CI/CD 통합: GitHub Actions 및 GitLab CI/CD에 내장된 지원으로, 검증된 취약성의 심각도에 따라 릴리스를 차단할 수 있습니다.
• 기본적으로 사생활 보호: 사용자 자신의 인프라에서 실행되며 결과는 로컬에 저장됩니다.