Shannon：基于白盒分析的 AI 自动化渗透测试平台

• 导出环境变量：

  export ANTHROPIC_API_KEY="your-api-key"
  

• 或创建 .env 文件并填入凭证信息

平台特定说明

• Windows 用户：推荐使用 WSL2 环境，安装 Docker Desktop 并启用 WSL2 后端支持。
• macOS 用户：直接安装 Docker Desktop 即可。
• Linux 用户：可能需要使用 sudo 权限运行 Docker 命令。

配置文件设置

虽然 Shannon 可以无需配置直接运行，但创建配置文件可以启用身份验证测试和定制化分析。基本配置包括：

• 身份验证设置：指定登录类型、URL、凭证和成功条件。
• TOTP 支持：如果应用程序使用双因素认证，只需添加 TOTP 密钥。
• 规则定义：指定 AI 应该避免测试的路径和应该重点关注的区域。

AI 提供商配置

用户可以根据需要选择不同的 AI 后端：

• Anthropic 原生 API：直接使用 Claude 模型。
• AWS Bedrock：通过 Amazon Bedrock 服务路由请求。
• Google Vertex AI：通过 Google Cloud 平台使用 Claude 模型。
• 实验性路由模式：支持 OpenAI GPT 或 Google Gemini 模型（非官方支持）。

测试本地应用程序

对于运行在本地开发环境的应用程序，需要使用 host.docker.internal 代替 localhost 作为目标 URL，因为 Docker 容器无法直接访问宿主机的本地主机地址。

如何使用

启动渗透测试

完成安装和配置后，使用简单的命令即可启动渗透测试：

./shannon start URL=https://your-app.com REPO=your-repo

Shannon 会自动构建容器、启动工作流并返回工作流 ID。测试过程在后台运行，用户可以继续其他工作。

监控测试进度

Shannon 提供多种监控方式：

• 实时日志查看：./shannon logs 命令显示工作器的实时日志。
• 工作流查询：./shannon query ID=shannon-1234567890 查询特定工作流的进度。
• Temporal Web UI：通过浏览器访问 http://localhost:8233 获取详细的可视化监控界面。

工作空间管理

每次测试运行都会创建一个工作空间，默认自动命名（如 example-com_shannon-1771007534808）。用户也可以指定自定义工作空间名称，便于管理和恢复：

• 命名工作空间：./shannon start URL=... REPO=... WORKSPACE=my-audit
• 恢复运行：使用相同的工作空间名称可以从中断处恢复测试。
• 列出工作空间：./shannon workspaces 显示所有工作空间及其状态。

测试参数调整

Shannon 支持多种运行参数：

• 基本测试：仅需目标 URL 和仓库名称。
• 配置文件：使用 CONFIG=./configs/my-config.yaml 指定自定义配置。
• 输出目录：通过 OUTPUT=./my-reports 设置自定义报告保存位置。
• 并发控制：配置 max_concurrent_pipelines 控制同时运行的漏洞管道数量。

处理速率限制

对于使用订阅计划的用户，Anthropic API 有 5 小时滚动窗口的速率限制。Shannon 提供了专门的 retry_preset: subscription 配置，将最大退避时间延长至 6 小时，重试次数增加到 100 次，确保测试能够顺利完成。

停止和清理

测试完成后或需要中断时：

• 停止容器：./shannon stop 停止所有容器但保留工作流数据。
• 完全清理：./shannon stop CLEAN=true 移除所有数据和容器。
• 资源释放：长时间运行的测试可能占用较多资源，定期清理可以释放系统资源。

结果验证和调试

如果测试结果异常或需要深入分析：

• 检查智能体日志：每个智能体的详细执行日志保存在 agents/ 目录下。
• 查看提示快照：prompts/ 目录包含每次 AI 调用的完整提示，便于复现和分析。
• 会话数据分析：session.json 文件包含测试会话的完整指标和数据。

应用场景实例

电子商务平台持续安全测试 一家快速增长的电子商务公司每周发布多次新功能和更新，传统的季度渗透测试无法跟上开发速度。安全团队将 Shannon 集成到其 GitHub Actions 工作流中。每次拉取请求创建或代码推送到主分支时，自动触发 Shannon 测试。由于 Shannon 的白盒分析能力，它能够理解复杂的业务逻辑，如购物车流程、支付集成和用户账户管理，从而进行针对性的测试。在三个月内，Shannon 发现了 12 个关键漏洞，包括一个通过复杂业务逻辑绕过的身份验证漏洞和一个隐蔽的 SQL 注入点。所有报告都附有可复现的漏洞证明，开发团队平均在 4 小时内修复了这些漏洞。误报率低于 2%，大大减少了安全团队的手动验证工作。

金融科技 API 安全验证 一家金融科技初创公司提供基于 REST API 的金融服务，安全性是客户信任的核心。团队使用 Shannon 测试其基于 OpenAPI 规范的 API。Shannon 首先分析 API 定义文件，理解端点结构、参数类型和身份验证要求。然后它执行动态测试，尝试各种攻击向量，包括 JWT 令牌操纵、批量分配漏洞和业务逻辑绕过。由于 Shannon 集成了 Schemathesis，它能够生成符合 API 模式但包含恶意负载的测试用例。Shannon 发现了 API v1 中的一个遗留端点，该端点仍然使用弱加密算法，允许攻击者伪造 JWT 令牌。还发现了一个通过 IDOR（不安全的直接对象引用）访问其他用户财务数据的漏洞。这些发现促使公司实施了全面的 API 安全加固计划。

医疗健康应用合规性测试 一家开发患者门户的医疗健康公司需要符合 HIPAA 安全要求。他们不仅需要发现技术漏洞，还需要确保患者健康信息（PHI）得到适当保护。公司部署 Shannon 进行每周自动化的安全测试。配置文件中特别关注与 PHI 处理相关的代码路径，如医疗记录访问、处方管理和预约调度。Shannon 的 AI 智能体被训练识别医疗健康领域的特定风险模式，如不当的日志记录可能暴露敏感健康信息。Shannon 发现了一个调试端点，该端点在错误条件下记录完整的患者记录，违反了 HIPAA 的最小必要原则。还识别了几个访问控制漏洞，允许用户查看未授权的医疗记录。公司利用这些发现加强了安全控制，顺利通过了年度 HIPAA 审计。

教育平台第三方组件安全 一个在线教育平台使用了大量第三方 JavaScript 库和框架。虽然团队定期更新这些依赖项，但难以评估每个更新是否引入了新的安全风险。平台使用 Shannon 测试其 React 前端应用。Shannon 分析组件结构、状态管理和 API 调用模式，然后通过浏览器自动化执行客户端攻击，如 DOM 型 XSS、客户端存储操纵和授权绕过。由于 Shannon 能够执行真实的浏览器交互，它可以测试那些仅通过静态分析难以发现的复杂漏洞。Shannon 发现了一个流行的 UI 组件库中的漏洞，该漏洞允许攻击者通过特制的道具值执行跨站脚本攻击。还识别了几个不安全的客户端存储实践，可能允许攻击者提升权限。

物联网设备管理面板安全 一家物联网公司提供基于 Web 的设备管理面板，客户通过该面板监控和控制连接的设备。面板的安全漏洞可能导致对物理设备的未授权访问，造成实际安全风险。由于设备管理面板涉及复杂的多步骤流程（设备注册、配置、固件更新），团队使用 Shannon 的浏览器自动化能力测试这些流程。Shannon 模拟真实用户操作，尝试在每个步骤中注入恶意输入或绕过安全检查。特别关注与设备控制相关的功能，如命令执行和配置更改。Shannon 发现了一个固件更新过程中的漏洞，允许攻击者上传恶意固件并完全控制设备。还识别了一个会话管理问题，导致设备访问令牌泄露。

项目信息

官方仓库地址：https://github.com/KeygraphHQ/shannon

核心定位：结合白盒源代码分析和动态漏洞利用的完全自动化渗透测试。

技术栈：基于 Anthropic Agent SDK，使用 TypeScript 开发，Docker 容器化部署。

开源协议：AGPL-3.0 许可证（Shannon Lite 版本）。

仓库结构概览：

• 核心组件：多智能体渗透测试流水线源代码。
• 配置目录：示例配置文件和各种测试场景配置。
• 审计日志：测试运行的工作空间和输出数据。
• 样本报告：针对知名漏洞应用的完整测试报告。
• MCP 服务器：模型上下文协议服务器实现。
• 资源文件：文档、图片和其他支持材料。

快速开始资源：

• 一键启动：./shannon start URL=https://your-app.com REPO=your-repo
• Docker 支持：完整的容器化部署方案。
• 详细文档：包含平台特定说明和故障排除指南。
• 示例配置：提供身份验证测试和定制化分析的配置文件模板。

社区与支持：

• 问题反馈：通过 GitHub Issues 报告问题或提出功能建议。
• 贡献指南：欢迎提交 PR，项目有清晰的开发流程和代码规范。

发展愿景：Shannon 代表了应用安全测试的未来方向——将专业安全专家的知识和经验编码到 AI 系统中，实现持续、自动化的安全保证。随着 AI 技术的进步和更多漏洞类别的覆盖，Shannon 有望成为每个开发团队的标准安全工具，真正实现'安全左移'和'持续安全'的理念。通过开源协作和社区贡献，Shannon 将继续进化，帮助组织在快速交付的同时保持强大的安全态势，最终使互联网对每个人都更加安全。