====== Shannon – autonomní AI pentester pro webové aplikace a API ======

//Vytvořeno: **11.04.2026** | Aktualizováno: **~~LASTMOD~~**//

> **Poznámka:** Tento článek je zatím rozpracovaný. Projekt ještě nebyl ověřený v praxi a text vychází hlavně z informací uvedených v oficiálním GitHub repozitáři.

[[https://github.com/KeygraphHQ/shannon|Shannon]] je podle autorů autonomní white-box AI pentester pro webové aplikace a API. Kombinuje analýzu zdrojového kódu s reálným pokoušením o exploitaci a do výsledného reportu zahrnuje jen zranitelnosti, pro které vznikl funkční proof of concept.

===== Co Shannon umí =====

  * Pracuje nad zdrojovým kódem aplikace, takže je určený pro white-box testování.
  * Hledá možné cesty útoku a pak je ověřuje proti běžící aplikaci a API.
  * Podle README se zaměřuje hlavně na injection, XSS, SSRF a broken authentication nebo authorization.
  * Používá browser automation i pomocné CLI nástroje jako Nmap, Subfinder, WhatWeb a Schemathesis.
  * Výsledkem má být report jen s ověřenými nálezy a reprodukovatelnými PoC ukázkami.

===== Jak je projekt postavený =====

Repozitář popisuje čtyři hlavní fáze:

  * Reconnaissance - mapování aplikace, endpointů a autentizace.
  * Vulnerability Analysis - paralelní hledání hypoteticky zneužitelných cest.
  * Exploitation - pokus o reálné zneužití nalezených hypotéz.
  * Reporting - sestavení výsledného reportu jen z potvrzených nálezů.

Repozitář obsahuje open-source edici ''Shannon Lite'' pod licencí AGPL-3.0. Vedle toho autoři zmiňují i komerční ''Shannon Pro'', který přidává širší AppSec funkce a hlubší statickou analýzu.

===== Rychlá orientace k nasazení =====

Podle README je potřeba Docker a některý z podporovaných způsobů přístupu k modelům, typicky přes Anthropic API, Claude Code OAuth, AWS Bedrock nebo Google Vertex AI.

Základní spuštění vypadá takto:

<code bash>
git clone https://github.com/KeygraphHQ/shannon.git
cd shannon

export ANTHROPIC_API_KEY="your-api-key"
export CLAUDE_CODE_MAX_OUTPUT_TOKENS=64000

./shannon start URL=https://your-app.com REPO=your-repo
</code>

Parametr ''REPO'' odkazuje na cílový repozitář uložený ve složce ''./repos/''. README uvádí například tento způsob přípravy:

<code bash>
git clone https://github.com/your-org/your-repo.git ./repos/your-repo
</code>

===== Srovnání s PentAGI =====

[[ai:platformy:agenti-a-orchestrace:pentagi|PentAGI]] i Shannon používají AI agenty při aktivním bezpečnostním testování. Nejsou ale stejným typem nástroje.

^ Oblast ^ Shannon ^ PentAGI ^
| Hlavní zaměření | White-box testování webových aplikací a API. | Širší multi-agentní workflow pro autonomní penetrační testování. |
| Vstup | Běžící aplikace nebo API a její zdrojový kód. | Cíl a účel testu; úlohy se dělí na Flow, Task a Subtask. |
| Pracovní model | Kombinuje analýzu kódu s pokusem o skutečnou exploitaci. | Plánuje, deleguje a podle výsledků upravuje navazující úlohy. |
| Výstup | Report jen s nálezy, pro něž vznikl funkční proof of concept. | Report z provedeného workflow a uložený stav testu. |
| Typické nasazení | Staging, vývojové prostředí nebo CI/CD bezpečnostní kontrola aplikace. | Self-hosted platforma pro bezpečnostní tým, pentest nebo výzkum. |

==== Kdy zvolit Shannon ====

Shannon dává větší smysl, když tým vlastní zdrojový kód konkrétní webové aplikace nebo API a chce ověřovat chyby před vydáním. Jeho silná stránka je white-box postup, pravidlo „bez funkčního exploitu není nález“ a výstupy použitelné v CI/CD, například SARIF.

==== Kdy zvolit PentAGI ====

PentAGI dává větší smysl, když je potřeba řídit širší testovací postup s více rolemi a navazujícími úlohami. Hodí se také pro tým, který chce persistentní prostředí s rozhraním, historií, pamětí a dohledem nad dlouhodobějším agentním workflow.

Ani jeden nástroj není vhodné bez dalšího pustit proti produkci. Shannon výslovně upozorňuje, že aktivní exploitace může změnit stav aplikace. PentAGI zase vyžaduje pečlivé oddělení agentních workerů a Docker infrastruktury.

===== Omezení a upozornění =====

  * Shannon Lite je určený jen pro white-box scénář se zdrojovým kódem.
  * Není to pasivní scanner. Nástroj aktivně zkouší exploity, takže může měnit data nebo stav aplikace.
  * README výslovně doporučuje nepouštět Shannon proti produkci.
  * Použití má smysl jen tam, kde existuje explicitní oprávnění k testování.
  * Autoři zároveň upozorňují, že finální report je potřeba lidsky zkontrolovat.

===== Poznámky =====

Na první pohled je zajímavá hlavně kombinace zdrojového kódu, browser automation a pravidla ''no exploit, no report''. Až bude nástroj vyzkoušený v praxi, dává smysl doplnit zkušenosti s reálným nasazením, nároky na konfiguraci a kvalitou výstupních reportů.

===== Zdroje =====

  * [[https://github.com/KeygraphHQ/shannon|KeygraphHQ/shannon na GitHubu]]