¿Qué es Shannon?
Shannon es un agente autónomo de pruebas de penetración para aplicaciones web y sus API, creado por Keygraph. Le das una URL y la ruta al código fuente. Traza la arquitectura, los límites de confianza y los flujos de datos a partir del código, explora la aplicación en marcha y luego envía agentes de explotación que intentan ataques de prueba de concepto mediante un navegador y herramientas de línea de comandos. Un hallazgo entra en el informe solo si un exploit funcionó.
Cubre cinco clases de fallo: inyección, cross-site scripting, falsificación de peticiones del lado del servidor, autenticación rota y autorización rota. Gestiona inicios de sesión, TOTP y autenticación por correo mediante configuración, reanuda análisis interrumpidos y genera informes en PDF, Markdown, JSON y SARIF. Los componentes oficiales para GitHub Action y GitLab CI pueden hacer fallar un pipeline cuando un exploit tiene éxito por encima de la gravedad elegida.
Tú pones el modelo. Anthropic, OpenAI, xAI y AWS Bedrock vienen integrados, y otros proveedores, gateways y modelos locales servidos por Ollama, vLLM o LM Studio funcionan con una configuración personalizada. Cada análisis se ejecuta en un contenedor Docker desechable que monta tu repositorio en solo lectura. La edición de código abierto es AGPL-3.0; Keygraph vende las ediciones Pro alojada y Enterprise autoalojada sobre una versión mejorada del mismo motor.
¿Merece la pena Shannon?
Shannon es la primera herramienta de código abierto que abarata lo suficiente el pentesting rutinario y respaldado por exploits de tu propia app web como para ejecutarlo en cada versión. Lee el código para decidir dónde atacar, ataca la aplicación en marcha y descarta todo lo que no puede demostrar, así que el informe es breve y cada punto llega con una prueba de concepto que funciona. Unas 51.400 estrellas en GitHub en poco más de un año, y la v3.5.0 del 27 de octubre de 2026, muestran cuántos equipos quieren eso.
Las cifras exigen cuidado, porque son de Keygraph. El README destacaba un 96,15% (100 de 104 retos) en lo que Keygraph llamó una variante sin pistas y con acceso al código del benchmark de XBOW; un benchmark modificado no es comparable con las puntuaciones publicadas de XBOW, y la afirmación ya no está en el README. La evidencia actual es una comparación que Keygraph hizo por su cuenta frente a un estudio de Doyensec patrocinado por Aikido: en Photoview 2.4.0, Shannon con Claude Opus 5 informó de 24 problemas, 23 de ellos reales, por $115 en tokens, mientras que Aikido encontró 32 y XBOW 7 a $4,000 por análisis. Una ejecución con DeepSeek v4 Flash costó $6.10 y encontró 18. Doyensec no verificó los resultados de Shannon.
La pega: es un atacante y se comporta como tal. Sus agentes crean usuarios, envían formularios, cambian o borran datos y lanzan peticiones salientes, así que la documentación dice que solo se ejecute con autorización explícita y por escrito del propietario del sistema, solo contra copias locales, aisladas o de staging con datos desechables, y nunca en producción; una máquina virtual desechable es el sitio más seguro. Apuntarlo a código en el que no confías es un riesgo de inyección de prompts. Anthropic y OpenAI aplican salvaguardas de ciberseguridad que pueden detener un análisis a mitad salvo que tu cuenta esté verificada, las suscripciones de Claude Code dejaron de funcionar después de la v1.9.0, una ejecución completa tarda de 1 a 1,5 horas según la documentación (de 2h 24m a 5h 26m en la prueba de Photoview) y no se publica el número de tokens por ejecución, solo estas cifras en dólares y una estimación anterior de unos $50 con Claude Sonnet 4.5.
Es una herramienta distinta de PyRIT, garak y DeepTeam, que atacan el modelo de lenguaje o el chatbot; Shannon ataca la aplicación web que lo rodea y no prueba prompts. Claude Security está más cerca: también lee repositorios enteros en busca de fallos de lógica, pero no los explota y exige Claude Enterprise. Shannon necesita el código fuente, cubre cinco clases de fallo y deja las pruebas de dependencias, secretos y caja negra a la edición de pago Pro, a $50 por desarrollador activo al mes.
Nuestra opinión: piensa en Shannon como un pentester júnior que nunca se cansa y tiene que enseñar su trabajo. Sale a cuenta en staging, y una persona sigue teniendo que leer cada hallazgo antes de que se convierta en un ticket.
Dónde se gana su sitio
Un equipo SaaS de 10 desarrolladores que publica cada semana en staging
Encontrar fallos explotables de inyección y de control de acceso antes de cada versión
Añade KeygraphHQ/shannon-action al flujo de publicación contra staging, guarda la clave del modelo como secreto y haz fallar el pipeline en gravedad alta. El gasto en modelo fue de $6.10 a $115 por análisis en la prueba de Keygraph, según el modelo que elijas.
Un responsable de AppSec en una empresa con 200 apps internas y un pentest al año
Cubrir la larga cola de apps que nunca reciben una prueba humana
Ejecuta Shannon con un modelo barato en la copia de staging de cada app y con uno más potente en las de mayor riesgo, y pasa los hallazgos confirmados a pentesters humanos para que los clasifiquen. Consigue antes la autorización por escrito de los propietarios de cada objetivo.
Una fintech pre-Series-A con 12 desarrolladores
Decidir entre la versión de código abierto y Keygraph Pro
El Community Program gratuito da Pro, con pruebas de caja negra, SCA, búsqueda de secretos y pull requests de corrección, a startups de hasta 20 desarrolladores; después Pro cuesta $50 por desarrollador activo al mes, también con tu propia clave de modelo.
Antes de decidirte
- Puesta en marcha
- Docker y Node.js 22 o posterior; luego npx @keygraph/shannon@latest setup para las claves y npx @keygraph/shannon@latest start -u <URL de staging> -r <ruta del repo>. Completa antes la verificación de salvaguardas de ciberseguridad de tu proveedor o la ejecución puede fallar a mitad.
- Integraciones
- Anthropic, OpenAI (incluidas las suscripciones ChatGPT Plus y Pro), xAI y AWS Bedrock integrados; otros proveedores, gateways LiteLLM u OpenRouter y Ollama, vLLM o LM Studio mediante una URL base personalizada o un archivo de modelos. GitHub Action (repositorios privados), componente de GitLab CI, salida SARIF 2.1.0.
- Datos y privacidad
- Se ejecuta en tu máquina, en un contenedor efímero con el repositorio montado en solo lectura; Keygraph dice que nunca recibe tu código ni hace de proxy del tráfico del modelo, pero el código y el contexto de la app van al proveedor de modelo que configures salvo que uses un modelo local. Una interfaz web de Temporal escucha en localhost:8233. Los resultados se quedan en un espacio de trabajo local.
- Coste a escala
- El software es gratuito; cada análisis factura tokens del modelo, de $6.10 a $115 en Photoview según las cifras de Keygraph, y no se publica el número de tokens por ejecución. Keygraph Pro cuesta $50 por desarrollador activo al mes y el coste del modelo sigue siendo tuyo; Enterprise tiene precio a medida.
- Límites
- Solo caja blanca: necesita el código fuente. Cinco clases de fallo; sin hallazgos de dependencias, configuración ni lógica de negocio en la versión de código abierto; los informes pueden contener detalles erróneos y requieren revisión humana; Keygraph no acepta contribuciones de código externas; la AGPL-3.0 se aplica si lo ofreces como servicio.
Lo bueno
- Solo informa de hallazgos con un exploit que funciona
- Coste de modelo de $6.10 a $115 por análisis en la prueba de Keygraph
- Cualquier proveedor o modelo local, con tu propia clave
- Bloqueos en GitHub Action y GitLab CI con salida SARIF
Lo malo
- Modifica datos; inseguro fuera de un entorno aislado autorizado
- Los benchmarks son de la propia Keygraph
- Solo cinco clases de fallo y necesita el código fuente
- Las salvaguardas de ciberseguridad pueden cortar análisis en Claude u OpenAI
Ideal para
Equipos de ingeniería con su propia app web, su código y una copia de staging que quieren pruebas de seguridad respaldadas por exploits en cada versión sin pagar un pentest cada vez.
Alternativas a Shannon
Shannon: preguntas frecuentes
- ¿Merece la pena Shannon?
- Shannon convierte una revisión de código en exploits demostrados por el precio de una factura de modelo, lo que justifica ejecutarlo en cada versión de staging y nunca donde no tengas permiso por escrito para atacar. Le damos un 4.1 sobre 5.
- ¿Cuánto cuesta Shannon?
- Shannon es gratuito bajo AGPL-3.0; pagas tus propios costes de modelo. Keygraph Pro cuesta $50 por desarrollador activo al mes, gratis para ONG estadounidenses y startups pre-Series-A que cumplan los requisitos, con hasta 20 desarrolladores; Enterprise tiene precio a medida.
- ¿Qué inconvenientes tiene Shannon?
- Modifica datos; inseguro fuera de un entorno aislado autorizado; los benchmarks son de la propia Keygraph; solo cinco clases de fallo y necesita el código fuente; las salvaguardas de ciberseguridad pueden cortar análisis en Claude u OpenAI.
- ¿Para quién es Shannon?
- Equipos de ingeniería con su propia app web, su código y una copia de staging que quieren pruebas de seguridad respaldadas por exploits en cada versión sin pagar un pentest cada vez.
- ¿Cuánto cuesta Shannon para un equipo o en producción?
- El software es gratuito; cada análisis factura tokens del modelo, de $6.10 a $115 en Photoview según las cifras de Keygraph, y no se publica el número de tokens por ejecución. Keygraph Pro cuesta $50 por desarrollador activo al mes y el coste del modelo sigue siendo tuyo; Enterprise tiene precio a medida.
- ¿Es Shannon seguro para los datos de la empresa?
- Se ejecuta en tu máquina, en un contenedor efímero con el repositorio montado en solo lectura; Keygraph dice que nunca recibe tu código ni hace de proxy del tráfico del modelo, pero el código y el contexto de la app van al proveedor de modelo que configures salvo que uses un modelo local. Una interfaz web de Temporal escucha en localhost:8233. Los resultados se quedan en un espacio de trabajo local.
- ¿Cuáles son las mejores alternativas a Shannon?
- Las alternativas más cercanas que hemos analizado son PyRIT, garak, DeepTeam y Trail of Bits Skills.
Respuestas comprobadas el 7 nov 2026.
¿Desarrollas Shannon? Muestra esta nota en tu web
