Shannon: открытый ИИ-пентестер для твоего приложения

Открытый ИИ по имени Shannon читает код твоего приложения, находит уязвимость и реально её проверяет, а потом отдаёт доказательство. Если ты собрал сайт или бота на нейросети и ни разу не проверял на безопасность, дыры там уже есть. Вопрос только, кто найдёт их первым. Ниже ссылка, что он проверяет и как запустить.

Внутри: ссылка на открытый репозиторий, что именно проверяет Shannon, как запустить на своём приложении и что делать с отчётом.

Что это за инструмент

Shannon от Keygraph. Открытая версия Shannon Lite, лицензия AGPL-3.0.

Репозиторий Shannon на GitHub

Это белый ящик для своих приложений: он смотрит исходный код и запускается только на том, что принадлежит тебе.

Что он проверяет

Внедрение кода и SQL-инъекции.
XSS, межсайтовый скриптинг.
SSRF, подделку серверных запросов.
Сломанную аутентификацию и доступ к чужим данным.

Он сам проходит вход с двухфакторкой, листает приложение, запускает эксплойт и отдаёт отчёт только по тому, что реально сработало, с доказательством.

Как запустить через Claude Code

Shannon задуман под запуск из агента-кодера. Открой свой проект в Claude Code или Cursor и вставь этот запрос, подставив своё.

Запрос для Claude Code

Склонируй репозиторий KeygraphHQ/shannon с гитхаба в отдельную папку рядом с моим проектом. Прочитай его README и установи зависимости ровно так, как там написано. Затем запусти Shannon Lite против исходников моего приложения в папке [путь к твоему проекту], в режиме белого ящика. Перед запуском покажи мне команду и дождись моего подтверждения. После прогона собери отчёт: какие уязвимости подтверждены эксплойтом, к каким данным они дают доступ, и предложи порядок исправления от самой опасной к наименее опасной.

Точные команды установки и флаги бери из README репозитория, они могут меняться между версиями. Запускай только на тестовой копии своего приложения, не на живом проде.

С чего начать в соцсетях

Важно

Запускай только на своём приложении. Проверять чужое без разрешения незаконно.
Начни с тестовой копии, живой прод оставь на потом.
Первым чини то, что даёт доступ к данным пользователей.

Читать дальше в блоге

Эту тему я разбираю подробно в статье рабочий список нейросетей для контента. Там же лежат остальные разборы про нейросети.

Следующий шаг

Хочешь так же, но под свой блог и продукт?

Я собрал систему, по которой обычный человек запускает блог с нуля и набирает аудиторию без съёмок, монтажа и команды. Внутри разбор, с которого стартовал сам.

Открыть разбор: с чего начать→