Shannon의 개요
Shannon은 Keygraph가 만든, 웹 애플리케이션과 그 API를 대상으로 하는 자율 침투 테스트 에이전트입니다. URL과 소스 코드 경로를 주면 코드에서 아키텍처, 신뢰 경계, 데이터 흐름을 파악하고, 실행 중인 앱을 탐색한 뒤, 브라우저와 명령줄 도구로 개념 증명 공격을 시도하는 익스플로잇 에이전트를 보냅니다. 익스플로잇이 성공한 발견만 보고서에 들어갑니다.
다섯 가지 취약점 유형을 다룹니다. 인젝션, 크로스 사이트 스크립팅, 서버 측 요청 위조, 인증 결함, 인가 결함입니다. 로그인, TOTP, 이메일 인증은 설정으로 처리하고, 중단된 스캔을 이어서 실행하며, PDF, Markdown, JSON, SARIF 보고서를 만듭니다. 공식 GitHub Action과 GitLab CI 구성 요소는 지정한 심각도 이상의 익스플로잇이 성공하면 파이프라인을 실패시킬 수 있습니다.
모델은 직접 준비합니다. Anthropic, OpenAI, xAI, AWS Bedrock이 내장돼 있고, 다른 제공업체, 게이트웨이, Ollama, vLLM, LM Studio로 띄운 로컬 모델도 사용자 설정으로 쓸 수 있습니다. 각 스캔은 저장소를 읽기 전용으로 마운트한 일회용 Docker 컨테이너에서 실행됩니다. 오픈소스판은 AGPL-3.0이며, Keygraph는 같은 엔진의 강화판으로 호스팅형 Pro와 자체 운영형 Enterprise를 판매합니다.
Shannon, 쓸 만한 가치가 있습니까?
Shannon은 자기 웹 앱에 대한 익스플로잇 기반의 정기 침투 테스트를 릴리스마다 돌릴 수 있을 만큼 싸게 만든 첫 오픈소스 도구입니다. 코드를 읽어 공격할 곳을 정하고, 실행 중인 앱을 공격하며, 증명하지 못한 것은 모두 버리므로 보고서가 짧고 항목마다 작동하는 개념 증명이 붙습니다. 1년 남짓 만에 GitHub 스타 약 51,400개, 2026년 10월 27일 v3.5.0 공개는 이를 원하는 팀이 얼마나 많은지 보여 줍니다.
수치는 조심해서 봐야 합니다. 모두 Keygraph 자신의 것이기 때문입니다. 예전 README는 Keygraph가 힌트 없이 소스를 볼 수 있는 변형이라고 부른 XBOW 벤치마크에서 96.15%(104개 과제 중 100개)를 내세웠습니다. 수정한 벤치마크는 공개된 XBOW 점수와 비교할 수 없으며, 이 주장은 이제 README에서 빠졌습니다. 현재 근거는 Aikido가 후원한 Doyensec 연구를 상대로 Keygraph가 직접 수행한 비교입니다. Photoview 2.4.0에서 Claude Opus 5를 쓴 Shannon은 24건을 보고했고 그중 23건이 실제였으며 토큰 비용은 $115였습니다. 반면 Aikido는 32건, XBOW는 7건을 찾았고 스캔 1회당 각각 $4,000였습니다. DeepSeek v4 Flash 실행은 $6.10에 18건을 찾았습니다. Doyensec은 Shannon의 결과를 검증하지 않았습니다.
주의할 점: 이 도구는 공격자이며 공격자처럼 행동합니다. 에이전트가 사용자를 만들고, 폼을 제출하고, 데이터를 바꾸거나 지우고, 외부로 요청을 보냅니다. 그래서 문서는 시스템 소유자의 명시적인 서면 허가가 있을 때만, 일회용 데이터를 둔 로컬, 격리 환경, 스테이징 사본에 대해서만 실행하고 운영 환경에서는 절대 실행하지 말라고 합니다. 가장 안전한 곳은 일회용 가상 머신입니다. 믿을 수 없는 코드에 돌리면 프롬프트 인젝션 위험이 있습니다. Anthropic과 OpenAI는 사이버 보안 관련 안전장치를 적용하므로 계정이 인증되지 않았다면 스캔이 중간에 멈출 수 있고, Claude Code 구독은 v1.9.0 이후 쓸 수 없습니다. 문서에 따르면 전체 실행은 1~1.5시간(Photoview 테스트에서는 2h 24m에서 5h 26m)이 걸리며, 실행당 토큰 수는 공개되지 않았습니다. 공개된 것은 이 달러 금액들과 Claude Sonnet 4.5로 약 $50이라는 예전 추정치뿐입니다.
PyRIT, garak, DeepTeam과는 다른 도구입니다. 이들은 언어 모델이나 챗봇을 공격하지만, Shannon은 그 주변의 웹 앱을 공격하며 프롬프트는 시험하지 않습니다. 더 가까운 것은 Claude Security입니다. 역시 저장소 전체를 읽어 논리 결함을 찾지만 익스플로잇은 하지 않으며 Claude Enterprise가 필요합니다. Shannon은 소스 코드가 필요하고 다섯 가지 취약점 유형을 다루며, 의존성, 시크릿, 블랙박스 테스트는 활성 개발자 1인당 월 $50인 유료 Pro판에 맡깁니다.
결론: Shannon은 지치지 않고 풀이 과정을 반드시 보여 줘야 하는 주니어 펜테스터라고 생각하면 됩니다. 스테이징에서는 충분히 값을 하지만, 각 발견이 티켓이 되기 전에 사람이 읽어야 한다는 점은 그대로입니다.
제 역할을 하는 곳
매주 스테이징에 배포하는 개발자 10명의 SaaS 팀
릴리스마다 악용 가능한 인젝션과 접근 제어 버그를 찾고 싶다
릴리스 워크플로에 스테이징 대상 KeygraphHQ/shannon-action을 추가하고, 모델 키를 시크릿으로 저장하고, 심각도 high에서 실패시킵니다. Keygraph 테스트에서 스캔당 모델 비용은 $6.10~$115였고 고른 모델에 따라 달라집니다.
내부 앱 200개에 침투 테스트는 1년에 한 번인 회사의 AppSec 책임자
사람이 한 번도 테스트하지 않는 수많은 앱을 다루고 싶다
모든 앱의 스테이징 사본에는 저렴한 모델로, 위험이 큰 앱에는 더 강한 모델로 Shannon을 돌리고, 확인된 발견은 사람 펜테스터에게 넘겨 분류합니다. 먼저 모든 대상에 대해 소유자의 서면 허가를 받습니다.
개발자 12명인 시리즈 A 이전 핀테크
오픈소스판과 Keygraph Pro 중에서 고르고 싶다
무료 Community Program은 개발자 20명 이하 스타트업에 블랙박스 테스트, SCA, 시크릿 스캔, 수정 풀 리퀘스트가 포함된 Pro를 제공합니다. 이후 Pro는 활성 개발자 1인당 월 $50이며, 모델 키는 여전히 직접 준비합니다.
도입 전 확인할 점
- 설정
- Docker와 Node.js 22 이상을 준비하고, npx @keygraph/shannon@latest setup으로 키를 설정한 뒤 npx @keygraph/shannon@latest start -u <스테이징 URL> -r <저장소 경로>를 실행합니다. 제공업체의 사이버 안전장치 인증을 먼저 마치지 않으면 실행이 중간에 실패할 수 있습니다.
- 연동
- Anthropic, OpenAI(ChatGPT Plus와 Pro 구독 포함), xAI, AWS Bedrock 내장. 다른 제공업체, LiteLLM이나 OpenRouter 게이트웨이, Ollama, vLLM, LM Studio는 사용자 지정 기본 URL이 나 모델 설정 파일로 사용. GitHub Action(비공개 저장소), GitLab CI 구성 요소, SARIF 2.1.0 출력.
- 데이터와 개인정보
- 내 컴퓨터의 임시 컨테이너에서 실행되며 저장소는 읽기 전용으로 마운트됩니다. Keygraph는 코드를 받지 않고 모델 트래픽을 중계하지 않는다고 하지만, 로컬 모델을 쓰지 않는 한 소스와 앱 정보는 설정한 모델 제공업체로 갑니다. Temporal 웹 UI가 localhost:8233에서 대기합니다. 결과는 로컬 작업 공간에 남습니다.
- 대규모 사용 시 비용
- 소프트웨어는 무료입니다. 스캔마다 모델 토큰 비용이 들며 Keygraph 수치로 Photoview에서 $6.10~$115였고, 실행당 토큰 수는 공개되지 않았습니다. Keygraph Pro는 활성 개발자 1인당 월 $50이며 모델 비용은 계속 직접 냅니다. Enterprise는 맞춤 견적입니다.
- 제한
- 화이트박스 전용이라 소스 코드가 필요합니다. 취약점 유형은 다섯 가지이며, 오픈소스판에는 의존성, 설정, 비즈니스 로직 관련 발견이 없습니다. 보고서에 틀린 내용이 있을 수 있어 사람의 검토가 필요합니다. Keygraph는 외부 코드 기여를 받지 않습니다. 서비스로 제공하면 AGPL-3.0이 적용됩니다.
좋은 점
- 작동하는 익스플로잇이 있는 발견만 보고
- Keygraph 테스트에서 스캔당 모델 비용 $6.10~$115
- 어떤 제공업체나 로컬 모델이든 자기 키로 사용
- SARIF 출력과 함께 GitHub Action과 GitLab CI 게이트 제공
아쉬운 점
- 데이터를 바꾸므로 허가된 샌드박스 밖에서는 위험
- 벤치마크는 Keygraph 자체 수치
- 취약점 유형이 다섯 가지뿐이고 소스 코드가 필요
- 사이버 안전장치 때문에 Claude나 OpenAI에서 스캔이 멈출 수 있음
추천 대상
자체 웹 앱과 그 소스, 스테이징 사본을 갖고 있으며, 매번 침투 테스트 비용을 내지 않고 릴리스마다 익스플로잇으로 입증된 보안 테스트를 하고 싶은 개발팀.
Shannon 대안
Shannon: 자주 묻는 질문
- Shannon, 쓸 만한 가치가 있습니까?
- Shannon은 코드 리뷰를 모델 이용료만으로 입증된 익스플로잇으로 바꿔 주므로 스테이징 릴리스마다 돌 릴 가치가 있지만, 공격해도 된다는 서면 허가가 없는 곳에서는 절대 써서는 안 됩니다. 평점은 5점 만점에 4.1점입니다.
- Shannon의 가격은 얼마입니까?
- Shannon은 AGPL-3.0으로 무료이며 모델 비용은 직접 냅니다. Keygraph Pro는 활성 개발자 1인당 월 $50이며, 요건을 갖춘 미국 비영리 단체와 개발자 20명 이하의 시리즈 A 이전 스타트업은 무료입니다. Enterprise는 맞춤 견적입니다.
- Shannon의 단점은 무엇입니까?
- 데이터를 바꾸므로 허가된 샌드박스 밖에서는 위험; 벤치마크는 Keygraph 자체 수치; 취약점 유형이 다섯 가지뿐이고 소스 코드가 필요; 사이버 안전장치 때문에 Claude나 OpenAI에서 스캔이 멈출 수 있음.
- Shannon에 적합한 사람은 누구입니까?
- 자체 웹 앱과 그 소스, 스테이징 사본을 갖고 있으며, 매번 침투 테스트 비용을 내지 않고 릴리스마다 익스플로잇으로 입증된 보안 테스트를 하고 싶은 개발팀.
- 팀이나 프로덕션 환경에서 Shannon의 비용은 얼마입니까?
- 소프트웨어는 무료입니다. 스캔마다 모델 토큰 비용이 들며 Keygraph 수치로 Photoview에서 $6.10~$115였고, 실행당 토큰 수는 공개되지 않았습니다. Keygraph Pro는 활성 개발자 1인당 월 $50이며 모델 비용은 계속 직접 냅니다. Enterprise는 맞춤 견적입니다.
- Shannon에 회사 데이터를 맡겨도 안전합니까?
- 내 컴퓨터의 임 시 컨테이너에서 실행되며 저장소는 읽기 전용으로 마운트됩니다. Keygraph는 코드를 받지 않고 모델 트래픽을 중계하지 않는다고 하지만, 로컬 모델을 쓰지 않는 한 소스와 앱 정보는 설정한 모델 제공업체로 갑니다. Temporal 웹 UI가 localhost:8233에서 대기합니다. 결과는 로컬 작업 공간에 남습니다.
- Shannon의 가장 좋은 대안은 무엇입니까?
- 저희가 리뷰한 것 중 가장 가까운 대안은 PyRIT, garak, DeepTeam 및 Trail of Bits Skills입니다.
답변 확인일: 2026년 11월 7일.
Shannon 개발사입니까? 이 평점을 사이트에 표시하십시오
