ARTICLE · 1300583
GitHub 5万星AI渗透测试工具Shannon:喂源码自动挖洞,PoC实证,可接任意大模型
导语：开源AI渗透测试智能体Shannon在GitHub冲到5万星。它把你的Web源码"读进去"，自己找攻击路径、自己发起真实攻击，最后只报真正被打穿的漏洞——没PoC，就不出报告。
Shannon是谁
Shannon是安全公司Keygraph开源的一款自主AI渗透测试智能体，专攻Web应用和API。仓库地址在GitHub的KeygraphHQ/shannon，截至撰稿时已经拿到约5.1万Star、近6千Fork，采用AGPL-3.0协议，TypeScript写成。
名字来头也不小——取自信息论之父克劳德·香农（Claude Shannon）。作者的意思是，渗透测试本质是个"信息问题"：每一次探测都在降低系统状态的不确定性，最好的工具就是让每一次请求都榨出最大的信号量。
（图源：Shannon官方仓库 banner）
它跟传统扫描器最不一样的地方，是白盒玩法：你不只是丢给它一个URL，而是把整个应用的源码仓库也交给它。它先分析源码，画出架构、信任边界、数据流，标出关键资产，再把这些"可信的攻击路径"交给渗透agent去现场验证。
核心玩法:没有PoC就不出报告
Shannon最硬核的一句话是 "No exploit, no report"——没有可利用的漏洞证明，就压根不写进报告。
具体来说，它干四件事：
源码分析：先吃透代码，找出可能的攻击向量 真实利用：用浏览器自动化+命令行工具，对着跑起来的应用和API真刀真枪地打 零误报：打不穿、证不明的漏洞，不会拿假警报烦你 专业报告：最后产出一份证据完整的PDF + Markdown + JSON，还默认输出SARIF 2.1.0，直接能接进安全编排
（图源：Shannon官方仓库 README 演示动画）
覆盖范围也对着OWASP来：注入、XSS、SSRF、越权、失效认证，都是它的主攻方向。
带认证的深度扫描也支持：账号密码、登录流程、TOTP二次验证都能配，还能设定关注区域和"交战规则"。扫到一半被打断也不怕，工作区支持断点续跑，不会重复验证已经跑过的步骤。
模型随你换,CI/CD里自动跑
最让人舒服的是它的模型无关设计。你可以BYOK（自带Key），接Anthropic、OpenAI、xAI、AWS Bedrock，甚至用Ollama、vLLM、LM Studio跑本地模型；还能自定义base URL指向任意网关或代理。官方在Photoview 2.4.0上跑过基准测试，DeepSeek v4 Flash、Grok 4.6、Claude Opus 5的完整报告和SARIF都公开在benchmark目录里。
自动化也做到位了：官方提供GitHub Action（shannon-action）和GitLab CI组件，能在每次发布时对着staging环境自动扫一遍，把报告当pipeline产物留存，还能在"真实漏洞"达到阈值时直接让流水线失败。
下载与使用
这是完全合法的开源项目，直接装就行。前置条件：Docker + Node.js 18以上。
# 交互式配置npx @keygraph/shannon@latest setup# 开跑一次渗透测试(目标URL + 源码仓库路径)npx @keygraph/shannon@latest start \ -u https://your-app.com \ -r /path/to/your/repo下载入口：
GitHub仓库：https://github.com/KeygraphHQ/shannon npm包：https://www.npmjs.com/package/@keygraph/shannon （最新版3.5.0） 发布页：https://github.com/KeygraphHQ/shannon/releases 官网：https://keygraph.io/
紫队提醒:它打人,别让它打自己
这事儿得从两边儿看。Shannon这波操作我给满分，但红线也得划清楚：它真的会执行攻击，官方白纸黑字写着——只准打你拥有、或拿到书面授权的环境，严禁跑生产。
还有个小细节值得注意：因为它是白盒，你得给源码，光给个URL是不够的。推文下就有网友提醒，Shannon分析的是源代码，不是纯黑盒扫。另外，Anthropic和OpenAI对网络安全负载有实时护栏，首次跑之前得先按它们的要求完成"合法安全测试者"验证，否则扫描可能被中途打断。
一句话总结：红队这把新刀很利，蓝队最好赶在真黑客之前，先拿它给自己的staging环境开一刀。
还有笔成本账要算。这类智能体的模型调用量和token消耗都不低，跑一轮全流程扫描的API费用可能比传统工具高出一个量级。所以核心业务系统还是值得留人来把关，AI更适合干数量多、重复性强的长尾应用和API——这恰恰也是官方文档里说的：它不取代人类渗透工程师，而是把专家时间省下来打在真正需要判断的地方。
版权声明：本文由华盟网原创发布，保留所有权利。配图由华盟网授权使用。
👇 点击阅读原文，访问我的网站
