AI 펜테스터 Shannon, 오픈소스로 공개

핵심 요약

• Keygraph가 개발한 Shannon은 웹 애플리케이션과 API의 자동 펜테스트 도구로, 소스 코드 분석과 실제 익스플로잇 실행을 결합해 취약점을 증명한다.
• 소스 코드에서 공격 경로를 식별한 후 브라우저 자동화와 CLI 도구로 실행 중인 애플리케이션을 공격하며, 재현 가능한 개념 증명(PoC)이 있는 취약점만 보고에 포함시킨다.
• Shannon OSS는 TypeScript 기반 오픈소스 저장소로 로컬에서 CLI를 통해 실행되며, AGPL-3.0 라이선스 하에서 개인 개발자와 소규모 팀에 적합하다.
• Docker, Node.js 18+, AI 공급자 자격증명(Anthropic, OpenAI, xAI, AWS Bedrock 등)이 필요하며, 사용자가 자신의 API 키를 제공하므로 Keygraph는 모델 트래픽을 프록시하지 않는다.
• 다단계 분석을 수행한다: 재연과 취약점 분석 → 아키텍처 매핑과 코드 분석 → 후보 중복 제거 → 실제 익스플로잇 시도 → 검증 → 보고서 생성.
• Injection, XSS, SSRF, 인증, 권한 부여 등 OWASP 중심의 취약점을 대상으로 하며, PDF와 마크다운 보고서, JSON과 SARIF 2.1.0 형식의 구조화된 결과를 제공한다.
• 인증된 테스트, 로그인 흐름, TOTP, 메일 인증, 초점 영역 및 참여 규칙을 설정 파일로 구성할 수 있고, 중단된 스캔을 이력서 가능 워크스페이스로 재개할 수 있다.
• GitHub Actions와 GitLab CI/CD를 위한 공식 통합이 있으며, 이들은 결과를 보존하고 설정된 심각도 이상의 익스플로잇 취약점에서 파이프라인을 차단할 수 있다.
• 전체 스캔은 약 1~1.5시간이 소요되고 모델 가격과 애플리케이션 복잡성에 따라 LLM API 비용이 발생하며, 에든유즈 워크샵의 비교 연구에서는 DeepSeek, Grok, Claude Opus로 실행한 Photoview 테스트 결과를 공개했다.
• Shannon은 인간 펜테스터의 대체가 아니며 함께 작동하도록 설계됐으며, 빠르게 진화하는 서비스와 내부 앱에 자동화된 정기적 테스트를 제공하는 데 목표가 있다.
• Keygraph는 Pro(월 개발자당 $50)와 Enterprise(맞춤 가격) 상용판도 제공하며, 이들은 소스 코드 없이도 작동하는 블랙박스 펜테스팅, SCA 검사, 취약점 관리 및 픽스 PR 재검증 기능을 추가로 제공한다.
• 신뢰할 수 없거나 적대적인 코드베이스를 스캔하지 말고, 신뢰하지 않는 시스템이나 권한 없는 애플리케이션에 대해 실행하지 말라고 명시했으며, LLM 생성 보고서는 검토가 필요하다.