Qu’est-ce que Shannon ?
Shannon est un agent autonome de test d'intrusion pour les applications web et leurs API, développé par Keygraph. Vous lui donnez une URL et le chemin du code source. Il cartographie l'architecture, les frontières de confiance et les flux de données à partir du code, explore l'application en fonctionnement, puis envoie des agents d'exploitation tenter des attaques de preuve de concept via un navigateur et des outils en ligne de commande. Une découverte n'entre dans le rapport que si un exploit a fonctionné.
Il couvre cinq classes de failles : injection, cross-site scripting, falsification de requêtes côté serveur, authentification défaillante et autorisation défaillante. Il gère les connexions, le TOTP et l'authentification par e-mail par configuration, reprend les analyses interrompues et produit des rapports PDF, Markdown, JSON et SARIF. Des composants officiels pour GitHub Actions et GitLab CI peuvent faire échouer un pipeline lorsqu'un exploit réussit au-dessus d'une gravité choisie.
Vous fournissez le modèle. Anthropic, OpenAI, xAI et AWS Bedrock sont intégrés, et d'autres fournisseurs, passerelles et modèles locaux servis par Ollama, vLLM ou LM Studio fonctionnent via une configuration personnalisée. Chaque analyse tourne dans un conteneur Docker jetable qui monte votre dépôt en lecture seule. L'édition open source est sous AGPL-3.0 ; Keygraph vend les éditions Pro hébergée et Enterprise auto-hébergée, fondées sur une version améliorée du même moteur.
Shannon vaut-il le coup ?
Shannon est le premier outil open source qui rend le pentest de routine, appuyé sur des exploits, de votre propre application web assez bon marché pour tourner à chaque version. Il lit le code pour décider où attaquer, attaque l'application en fonctionnement et écarte tout ce qu'il ne peut pas prouver, si bien que le rapport est court et que chaque point arrive avec une preuve de concept qui fonctionne. Environ 51 400 étoiles sur GitHub en un peu plus d'un an, et la v3.5.0 du 27 octobre 2026, montrent combien d'équipes le veulent.
Les chiffres demandent de la prudence, car ce sont ceux de Keygraph. Le README mettait en avant 96,15 % (100 défis sur 104) sur ce que Keygraph appelait une variante sans indices et avec accès au code du benchmark de XBOW ; un benchmark modifié n'est pas comparable aux scores XBOW publiés, et l'affirmation a depuis disparu du README. La preuve actuelle est une comparaison que Keygraph a menée lui-même face à une étude de Doyensec financée par Aikido : sur Photoview 2.4.0, Shannon avec Claude Opus 5 a signalé 24 problèmes, dont 23 réels, pour $115 de tokens, tandis qu'Aikido en a trouvé 32 et XBOW 7, à $4,000 par analyse. Une exécution avec DeepSeek v4 Flash a coûté $6.10 et en a trouvé 18. Doyensec n'a pas vérifié les résultats de Shannon.
Le hic : c'est un attaquant, et il se comporte comme tel. Ses agents créent des utilisateurs, soumettent des formulaires, modifient ou suppriment des données et envoient des requêtes sortantes ; la documentation demande donc de ne le lancer qu'avec l'autorisation explicite et écrite du propriétaire du système, uniquement contre des copies locales, isolées ou de staging aux données jetables, et jamais en production ; une machine virtuelle jetable est l'endroit le plus sûr. Le pointer vers du code dont vous vous méfiez expose à l'injection de prompts. Anthropic et OpenAI appliquent des garde-fous cyber qui peuvent stopper une analyse en cours si votre compte n'est pas vérifié, les abonnements Claude Code ne fonctionnent plus après la v1.9.0, une exécution complète prend de 1 à 1,5 heure selon la documentation (de 2h 24m à 5h 26m dans le test Photoview), et aucun nombre de tokens par exécution n'est publié, seulement ces montants en dollars et une estimation antérieure d'environ $50 avec Claude Sonnet 4.5.
C'est un outil différent de PyRIT, garak et DeepTeam, qui attaquent le modèle de langage ou le chatbot ; Shannon attaque l'application web qui l'entoure et ne teste pas les prompts. Claude Security est plus proche : il lit lui aussi des dépôts entiers à la recherche de failles logiques, mais ne les exploite pas et exige Claude Enterprise. Shannon a besoin du code source, couvre cinq classes de failles et laisse l'analyse des dépendances, des secrets et les tests en boîte noire à l'édition payante Pro, à $50 par développeur actif et par mois.
Notre avis : voyez Shannon comme un pentester junior qui ne se fatigue jamais et doit montrer son raisonnement. Il vaut son prix en staging, et une personne doit toujours lire chaque découverte avant qu'elle ne devienne un ticket.
Là où il fait la différence
Une équipe SaaS de 10 développeurs qui livre chaque semaine en staging
Trouver les failles d'injection et de contrôle d'accès exploitables avant chaque version
Ajoutez KeygraphHQ/shannon-action au workflow de livraison contre le staging, stockez la clé du modèle comme secret et faites échouer le pipeline en gravité haute. La dépense de modèle allait de $6.10 à $115 par analyse dans le test de Keygraph, selon le modèle choisi.
Une responsable AppSec dans une entreprise de 200 applications internes et un pentest par an
Couvrir la longue traîne d'applications qu'aucun humain ne teste jamais
Lancez Shannon avec un modèle bon marché sur la copie de staging de chaque application et avec un modèle plus puissant sur les plus risquées, puis transmettez les découvertes confirmées à des pentesters humains pour tri. Obtenez d'abord l'autorisation écrite des propriétaires pour chaque cible.
Une fintech pré-Series-A de 12 développeurs
Choisir entre la version open source et Keygraph Pro
Le Community Program gratuit offre Pro, avec tests en boîte noire, SCA, détection de secrets et pull requests de correction, aux start-up jusqu'à 20 développeurs ; ensuite Pro coûte $50 par développeur actif et par mois, toujours avec votre propre clé de modèle.
Avant de vous engager
- Mise en route
- Docker et Node.js 22 ou plus récent, puis npx @keygraph/shannon@latest setup pour les clés et npx @keygraph/shannon@latest start -u <URL de staging> -r <chemin du dépôt>. Terminez d'abord la vérification cyber de votre fournisseur, sinon l'exécution peut échouer en cours de route.
- Intégrations
- Anthropic, OpenAI (y compris les abonnements ChatGPT Plus et Pro), xAI et AWS Bedrock intégrés ; autres fournisseurs, passerelles LiteLLM ou OpenRouter et Ollama, vLLM ou LM Studio via une URL de base personnalisée ou un fichier de modèles. GitHub Action (dépôts privés), composant GitLab CI, sortie SARIF 2.1.0.
- Données et confidentialité
- Tourne sur votre machine dans un conteneur éphémère avec le dépôt monté en lecture seule ; Keygraph affirme ne jamais recevoir votre code ni relayer le trafic des modèles, mais le code et le contexte de l'application partent chez le fournisseur de modèle configuré, sauf si vous utilisez un modèle local. Une interface web Temporal écoute sur localhost:8233. Les résultats restent dans un espace de travail local.
- Coût à grande échelle
- Le logiciel est gratuit ; chaque analyse consomme des tokens, de $6.10 à $115 sur Photoview selon les chiffres de Keygraph, et aucun nombre de tokens par exécution n'est publié. Keygraph Pro coûte $50 par développeur actif et par mois, les coûts de modèle restant à votre charge ; Enterprise est sur devis.
- Limites
- Boîte blanche uniquement : il faut le code source. Cinq classes de failles ; aucune découverte sur les dépendances, la configuration ou la logique métier dans la version open source ; les rapports peuvent contenir des détails erronés et demandent une relecture humaine ; Keygraph n'accepte pas de contributions de code externes ; l'AGPL-3.0 s'applique si vous le proposez comme service.
Les points forts
- Ne signale que des découvertes avec un exploit qui fonctionne
- Coût de modèle de $6.10 à $115 par analyse dans le test de Keygraph
- N'importe quel fournisseur ou modèle local, avec votre propre clé
- Seuils de blocage GitHub Actions et GitLab CI avec sortie SARIF
Les points faibles
- Modifie les données ; dangereux hors d'un bac à sable autorisé
- Les benchmarks viennent de Keygraph lui-même
- Seulement cinq classes de failles et besoin du code source
- Les garde-fous cyber peuvent interrompre les analyses sur Claude ou OpenAI
Idéal pour
Les équipes d'ingénierie qui ont leur propre application web, son code et une copie de staging, et veulent des tests de sécurité appuyés sur des exploits à chaque version sans payer un pentest à chaque fois.
Alternatives à Shannon
Shannon : questions fréquentes
- Shannon vaut-il le coup ?
- Shannon transforme une revue de code en exploits prouvés pour le prix d'une facture de modèle, ce qui justifie de le lancer à chaque version de staging, et jamais là où vous n'avez pas d'autorisation écrite d'attaquer. Nous lui donnons 4.1 sur 5.
- Combien coûte Shannon ?
- Shannon est gratuit sous AGPL-3.0 ; vous payez vos propres coûts de modèle. Keygraph Pro coûte $50 par développeur actif et par mois, gratuit pour les associations américaines et les start-up pré-Series-A éligibles comptant jusqu'à 20 développeurs ; Enterprise est sur devis.
- Quels sont les inconvénients de Shannon ?
- Modifie les données ; dangereux hors d'un bac à sable autorisé; les benchmarks viennent de Keygraph lui-même; seulement cinq classes de failles et besoin du code source; les garde-fous cyber peuvent interrompre les analyses sur Claude ou OpenAI.
- À qui s’adresse Shannon ?
- Les équipes d'ingénierie qui ont leur propre application web, son code et une copie de staging, et veulent des tests de sécurité appuyés sur des exploits à chaque version sans payer un pentest à chaque fois.
- Combien coûte Shannon pour une équipe ou en production ?
- Le logiciel est gratuit ; chaque analyse consomme des tokens, de $6.10 à $115 sur Photoview selon les chiffres de Keygraph, et aucun nombre de tokens par exécution n'est publié. Keygraph Pro coûte $50 par développeur actif et par mois, les coûts de modèle restant à votre charge ; Enterprise est sur devis.
- Shannon est-il sûr pour les données de l’entreprise ?
- Tourne sur votre machine dans un conteneur éphémère avec le dépôt monté en lecture seule ; Keygraph affirme ne jamais recevoir votre code ni relayer le trafic des modèles, mais le code et le contexte de l'application partent chez le fournisseur de modèle configuré, sauf si vous utilisez un modèle local. Une interface web Temporal écoute sur localhost:8233. Les résultats restent dans un espace de travail local.
- Quelles sont les meilleures alternatives à Shannon ?
- Les alternatives les plus proches que nous avons testées sont PyRIT, garak, DeepTeam et Trail of Bits Skills.
Réponses vérifiées le 7 nov. 2026.
Vous éditez Shannon ? Affichez cette note sur votre site
