Shannon 3.0 wchodzi do gry. AI przeczyta twój kod i sprawdzi, czy da się go zhakować

Branża cyberbezpieczeństwa odchodzi od tradycyjnego skanowania podatności na rzecz autonomicznych agentów. Startup Keygraph wypuścił właśnie wersję 3.0 swojego flagowego narzędzia Shannon. To rozwiązanie zmienia zasady gry: zamiast uderzać w aplikację na oślep, AI zaczyna proces od wnikliwej lektury kodu źródłowego. Dzięki temu system mapuje przepływy danych i znajduje słabe punkty tam, gdzie klasyczne narzędzia widzą jedynie spójną strukturę.

Dlaczego to ważne teraz?

Tradycyjne testy penetracyjne są drogie i często generują setki powiadomień, które okazują się nieistotne. Shannon 3.0 rozwiązuje ten problem, łącząc głęboką analizę kodu z aktywnym sprawdzaniem luk w locie. To podejście pozwala na identyfikację krytycznych błędów przy ułamku kosztów usług profesjonalnych audytorów, co potwierdzają dane z repozytorium projektu, które zgromadziło już niemal 47 tysięcy gwiazdek.

Brak dowodu to brak raportu

Największą nowością w trzeciej odsłonie Shannona jest zaawansowany potok analityczny, który wyklucza zgadywanie. Agent buduje kompletny obraz infrastruktury, śledząc dane kontrolowane przez użytkownika od momentu ich wpisania, aż po wrażliwe operacje w bazie danych. Twórcy przyjęli bezkompromisową zasadę: żadna luka nie trafi do raportu, jeśli AI nie zdoła przeprowadzić udanego ataku. Jak określają to sami autorzy, celem jest „zero false positives” poprzez unikalne połączenie analizy statycznej z żywą eksploatacją.

Proces weryfikacji przebiega wieloetapowo. Scenariusze ataków są oceniane przez „agenta recenzenta”, a następnie testowane w izolowanym środowisku. To podejście sprawia, że deweloperzy otrzymują gotową listę potwierdzonych zagrożeń zamiast teoretycznych rozważań o bezpieczeństwie.

24 luki za 115 dolarów

Liczby mówią same za siebie. W testach przeprowadzonych na aplikacji Photoview 2.4.0, Shannon, wykorzystujący model Claude Opus, zidentyfikował 24 podatności, w tym groźne wstrzyknięcia SQL. Cała operacja kosztowała zaledwie 115 dolarów. To potężny cios w rynek komercyjny – podobne skany w badaniach porównawczych wyceniano na 4000 dolarów. Co więcej, Shannon osiągnął imponującą skuteczność exploitów na poziomie 96,15% w benchmarku XBOW.

Nowa wersja przynosi też praktyczne udogodnienia dla programistów:

• Native CI/CD: Gotowe komponenty dla GitHub Actions pozwalają blokować buildy z krytycznymi błędami.
• Workspacey: Możliwość przerywania i wznawiania długich skanów bez utraty postępów.
• Profesjonalne raporty: Generowanie plików PDF oraz formatu SARIF dla łatwej integracji z innymi narzędziami.

Otwartość i prywatność

Za sukcesem projektu stoi Varun Sivamani, były lider inżynierii w Lattice. Dzięki licencji AGPL-3.0, Shannon pozostaje dostępny dla każdego. To kluczowe dla mniejszych firm, które nie mogą pozwolić sobie na kosztowne kontrakty z gigantami bezpieczeństwa. System wspiera nie tylko modele od Anthropic czy OpenAI, ale pozwala też na uruchomienie lokalnych instancji AI, co gwarantuje, że kod źródłowy firmy nigdy nie opuści jej serwerów.