O que é Shannon?
Shannon é um agente autônomo de testes de invasão para aplicações web e suas APIs, criado pela Keygraph. Você fornece uma URL e o caminho do código-fonte. Ele mapeia a arquitetura, os limites de confiança e os fluxos de dados a partir do código, explora o app em execução e depois envia agentes de exploração que tentam ataques de prova de conceito por meio de um navegador e de ferramentas de linha de comando. Um achado só entra no relatório se um exploit funcionou.
Ele cobre cinco classes de falha: injeção, cross-site scripting, falsificação de requisições do lado do servidor, autenticação quebrada e autorização quebrada. Lida com logins, TOTP e autenticação por e-mail via configuração, retoma análises interrompidas e gera relatórios em PDF, Markdown, JSON e SARIF. Componentes oficiais para GitHub Actions e GitLab CI podem fazer um pipeline falhar quando um exploit dá certo acima da gravidade escolhida.
Você traz o modelo. Anthropic, OpenAI, xAI e AWS Bedrock vêm integrados, e outros provedores, gateways e modelos locais servidos por Ollama, vLLM ou LM Studio funcionam com uma configuração própria. Cada análise roda em um contêiner Docker descartável que monta seu repositório como somente leitura. A edição open source é AGPL-3.0; a Keygraph vende as edições Pro hospedada e Enterprise auto-hospedada, baseadas em uma versão aprimorada do mesmo motor.
Shannon vale a pena?
O Shannon é a primeira ferramenta open source que torna o pentest de rotina, com exploits como prova, do seu próprio app web barato o bastante para rodar a cada versão. Ele lê o código para decidir onde atacar, ataca o app em execução e descarta tudo o que não consegue provar, então o relatório é curto e cada item vem com uma prova de conceito que funciona. Cerca de 51.400 estrelas no GitHub em pouco mais de um ano, e a v3.5.0 de 27 de outubro de 2026, mostram quantas equipes querem isso.
Os números pedem cuidado, porque são da própria Keygraph. O README destacava 96,15% (100 de 104 desafios) no que a Keygraph chamou de variante sem dicas e com acesso ao código do benchmark da XBOW; um benchmark modificado não é comparável às pontuações publicadas da XBOW, e a afirmação já saiu do README. A evidência atual é uma comparação que a Keygraph fez por conta própria com um estudo da Doyensec patrocinado pela Aikido: no Photoview 2.4.0, o Shannon com Claude Opus 5 relatou 24 problemas, 23 deles reais, por $115 em tokens, enquanto a Aikido encontrou 32 e a XBOW 7, a $4,000 por análise. Uma execução com DeepSeek v4 Flash custou $6.10 e encontrou 18. A Doyensec não verificou os resultados do Shannon.
O porém: ele é um atacante e se comporta como tal. Seus agentes criam usuários, enviam formulários, alteram ou apagam dados e disparam requisições externas, por isso a documentação diz para rodá-lo só com autorização explícita e por escrito do dono do sistema, só contra cópias locais, isoladas ou de staging com dados descartáveis, e nunca em produção; uma máquina virtual descartável é o lugar mais seguro. Apontá-lo para código em que você não confia é risco de injeção de prompt. Anthropic e OpenAI aplicam salvaguardas de cibersegurança que podem parar uma análise no meio se sua conta não estiver verificada, as assinaturas do Claude Code deixaram de funcionar depois da v1.9.0, uma execução completa leva de 1 a 1,5 hora segundo a documentação (de 2h 24m a 5h 26m no teste do Photoview) e não há número de tokens por execução publicado, só esses valores em dólar e uma estimativa anterior de cerca de $50 com Claude Sonnet 4.5.
É uma ferramenta diferente de PyRIT, garak e DeepTeam, que atacam o modelo de linguagem ou o chatbot; o Shannon ataca o app web em volta dele e não testa prompts. O Claude Security está mais perto: também lê repositórios inteiros atrás de falhas de lógica, mas não as explora e exige Claude Enterprise. O Shannon precisa do código-fonte, cobre cinco classes de falha e deixa testes de dependências, segredos e caixa-preta para a edição paga Pro, a $50 por desenvolvedor ativo por mês.
Nossa opinião: pense no Shannon como um pentester júnior que nunca cansa e precisa mostrar como chegou lá. Ele vale o custo em staging, e uma pessoa ainda precisa ler cada achado antes que ele vire um ticket.
Onde ele se destaca
Uma equipe SaaS de 10 desenvolvedores que publica toda semana em staging
Achar falhas exploráveis de injeção e controle de acesso antes de cada versão
Adicione KeygraphHQ/shannon-action ao fluxo de publicação contra o staging, guarde a chave do modelo como segredo e faça o pipeline falhar em gravidade alta. O gasto com modelo foi de $6.10 a $115 por análise no teste da Keygraph, conforme o modelo escolhido.
Uma líder de AppSec em uma empresa com 200 apps internos e um pentest por ano
Cobrir a cauda longa de apps que nunca passam por teste humano
Rode o Shannon com um modelo barato na cópia de staging de cada app e com um mais forte nos de maior risco, e mande os achados confirmados para pentesters humanos fazerem a triagem. Obtenha antes a autorização por escrito dos donos de cada alvo.
Uma fintech pré-Series-A com 12 desenvolvedores
Decidir entre a versão open source e o Keygraph Pro
O Community Program gratuito oferece o Pro, com testes de caixa-preta, SCA, varredura de segredos e pull requests de correção, a startups com até 20 desenvolvedores; depois disso o Pro custa $50 por desenvolvedor ativo por mês, ainda com sua própria chave de modelo.
Antes de decidir
- Configuração
- Docker e Node.js 22 ou mais recente; depois npx @keygraph/shannon@latest setup para as chaves e npx @keygraph/shannon@latest start -u <URL de staging> -r <caminho do repo>. Conclua antes a verificação de cibersegurança do seu provedor, ou a execução pode falhar no meio.
- Integrações
- Anthropic, OpenAI (incluindo assinaturas ChatGPT Plus e Pro), xAI e AWS Bedrock integrados; outros provedores, gateways LiteLLM ou OpenRouter e Ollama, vLLM ou LM Studio via URL base própria ou arquivo de modelos. GitHub Action (repositórios privados), componente GitLab CI, saída SARIF 2.1.0.
- Dados e privacidade
- Roda na sua máquina em um contêiner efêmero com o repositório montado como somente leitura; a Keygraph diz que nunca recebe seu código nem faz proxy do tráfego do modelo, mas o código e o contexto do app vão para o provedor de modelo que você configurar, a menos que use um modelo local. Uma interface web do Temporal escuta em localhost:8233. Os resultados ficam em um workspace local.
- Custo em escala
- O software é gratuito; cada análise consome tokens do modelo, de $6.10 a $115 no Photoview pelos números da Keygraph, e não há contagem de tokens por execução publicada. O Keygraph Pro custa $50 por desenvolvedor ativo por mês, e o custo do modelo continua seu; o Enterprise tem preço sob medida.
- Limites
- Só caixa-branca: precisa do código-fonte. Cinco classes de falha; nada de achados de dependências, configuração ou lógica de negócio na versão open source; relatórios podem ter detalhes errados e exigem revisão humana; a Keygraph não aceita contribuições externas de código; a AGPL-3.0 se aplica se você oferecer o Shannon como serviço.
O que é bom
- Só relata achados com um exploit que funciona
- Custo de modelo de $6.10 a $115 por análise no teste da Keygraph
- Qualquer provedor ou modelo local, com sua própria chave
- Bloqueios em GitHub Actions e GitLab CI com saída SARIF
O que não é
- Altera dados; inseguro fora de um sandbox autorizado
- Os benchmarks são da própria Keygraph
- Só cinco classes de falha e exige código-fonte
- Salvaguardas de cibersegurança podem interromper análises no Claude ou na OpenAI
Ideal para
Equipes de engenharia com seu próprio app web, o código e uma cópia de staging que querem testes de segurança comprovados por exploits a cada versão sem pagar um pentest toda vez.
Alternativas ao Shannon
Shannon: perguntas frequentes
- Shannon vale a pena?
- O Shannon transforma uma revisão de código em exploits comprovados pelo preço de uma conta de modelo, o que faz valer a pena rodá-lo em toda versão de staging, e nunca onde você não tenha permissão por escrito para atacar. Damos nota 4.1 de 5.
- Quanto custa Shannon?
- O Shannon é gratuito sob AGPL-3.0; você paga seus próprios custos de modelo. O Keygraph Pro custa $50 por desenvolvedor ativo por mês, gratuito para ONGs americanas e startups pré-Series-A elegíveis com até 20 desenvolvedores; o Enterprise tem preço sob medida.
- Quais são as desvantagens de Shannon?
- Altera dados; inseguro fora de um sandbox autorizado; os benchmarks são da própria Keygraph; só cinco classes de falha e exige código-fonte; salvaguardas de cibersegurança podem interromper análises no Claude ou na OpenAI.
- Para quem Shannon é indicado?
- Equipes de engenharia com seu próprio app web, o código e uma cópia de staging que querem testes de segurança comprovados por exploits a cada versão sem pagar um pentest toda vez.
- Quanto custa Shannon para uma equipe ou em produção?
- O software é gratuito; cada análise consome tokens do modelo, de $6.10 a $115 no Photoview pelos números da Keygraph, e não há contagem de tokens por execução publicada. O Keygraph Pro custa $50 por desenvolvedor ativo por mês, e o custo do modelo continua seu; o Enterprise tem preço sob medida.
- Shannon é seguro para dados da empresa?
- Roda na sua máquina em um contêiner efêmero com o repositório montado como somente leitura; a Keygraph diz que nunca recebe seu código nem faz proxy do tráfego do modelo, mas o código e o contexto do app vão para o provedor de modelo que você configurar, a menos que use um modelo local. Uma interface web do Temporal escuta em localhost:8233. Os resultados ficam em um workspace local.
- Quais são as melhores alternativas ao Shannon?
- As alternativas mais próximas que analisamos são PyRIT, garak, DeepTeam e Trail of Bits Skills.
Respostas verificadas em 7 de nov. de 2026.
Voc ê faz o Shannon? Mostre esta nota no seu site
