Vytvořeno: 11.04.2026 | Aktualizováno: 23.10.2026 12:39
Poznámka: Tento článek je zatím rozpracovaný. Projekt ještě nebyl ověřený v praxi a text vychází hlavně z informací uvedených v oficiálním GitHub repozitáři.
Shannon je podle autorů autonomní white-box AI pentester pro webové aplikace a API. Kombinuje analýzu zdrojového kódu s reálným pokoušením o exploitaci a do výsledného reportu zahrnuje jen zranitelnosti, pro které vznikl funkční proof of concept.
Repozitář popisuje čtyři hlavní fáze:
Repozitář obsahuje open-source edici Shannon Lite pod licencí AGPL-3.0. Vedle toho autoři zmiňují i komerční Shannon Pro, který přidává širší AppSec funkce a hlubší statickou analýzu.
Podle README je potřeba Docker a některý z podporovaných způsobů přístupu k modelům, typicky přes Anthropic API, Claude Code OAuth, AWS Bedrock nebo Google Vertex AI.
Základní spuštění vypadá takto:
git clone https://github.com/KeygraphHQ/shannon.git cd shannon export ANTHROPIC_API_KEY="your-api-key" export CLAUDE_CODE_MAX_OUTPUT_TOKENS=64000 ./shannon start URL=https://your-app.com REPO=your-repo
Parametr REPO odkazuje na cílový repozitář uložený ve složce ./repos/. README uvádí například tento způsob přípravy:
git clone https://github.com/your-org/your-repo.git ./repos/your-repo
PentAGI i Shannon používají AI agenty při aktivním bezpečnostním testování. Nejsou ale stejným typem nástroje.
| Oblast | Shannon | PentAGI |
|---|---|---|
| Hlavní zaměření | White-box testování webových aplikací a API. | Širší multi-agentní workflow pro autonomní penetrační testování. |
| Vstup | Běžící aplikace nebo API a její zdrojový kód. | Cíl a účel testu; úlohy se dělí na Flow, Task a Subtask. |
| Pracovní model | Kombinuje analýzu kódu s pokusem o skutečnou exploitaci. | Plánuje, deleguje a podle výsledků upravuje navazující úlohy. |
| Výstup | Report jen s nálezy, pro něž vznikl funkční proof of concept. | Report z provedeného workflow a uložený stav testu. |
| Typické nasazení | Staging, vývojové prostředí nebo CI/CD bezpečnostní kontrola aplikace. | Self-hosted platforma pro bezpečnostní tým, pentest nebo výzkum. |
Shannon dává větší smysl, když tým vlastní zdrojový kód konkrétní webové aplikace nebo API a chce ověřovat chyby před vydáním. Jeho silná stránka je white-box postup, pravidlo „bez funkčního exploitu není nález“ a výstupy použitelné v CI/CD, například SARIF.
PentAGI dává větší smysl, když je potřeba řídit širší testovací postup s více rolemi a navazujícími úlohami. Hodí se také pro tým, který chce persistentní prostředí s rozhraním, historií, pamětí a dohledem nad dlouhodobějším agentním workflow.
Ani jeden nástroj není vhodné bez dalšího pustit proti produkci. Shannon výslovně upozorňuje, že aktivní exploitace může změnit stav aplikace. PentAGI zase vyžaduje pečlivé oddělení agentních workerů a Docker infrastruktury.
Na první pohled je zajímavá hlavně kombinace zdrojového kódu, browser automation a pravidla no exploit, no report. Až bude nástroj vyzkoušený v praxi, dává smysl doplnit zkušenosti s reálným nasazením, nároky na konfiguraci a kvalitou výstupních reportů.