explorar #ai-pentesting hallazgo 06 · boletín 2026-08-14

KeygraphHQ/shannon

AGPL-3.0, TypeScript, 46.803★, 5.404 forks, ~11 meses, 31 issues abiertos. Pentester AI autónomo que combina análisis estático de código fuente con browser automation + command-line execution para ejecutar exploits reales contra la aplicación y sus APIs. Solo reporta vulnerabilidades con PoC funcional. Shannon 2.0 oficial desde el 2026-08-14.

Estrellas

46.803

Forks

5.404

Lenguaje

TypeScript

Licencia

AGPL-3.0

Issues

Estado

—

Cómo funciona

Implementa ai-pentesting

Núcleo

KeygraphHQ/shannon TypeScript · AGPL-3.0 ai-penetration-testingai-securityapi-securityappsecci-cdcybersecuritydevsecopsethical-hacking +2

Se cruza con relevante para keygraph

Diagrama derivado de madurez_senales (lenguaje, licencia, estado y topics) y de las relaciones que este repo tiene en el grafo de conocimiento. No es una arquitectura del proyecto: es su posición funcional tal como la registran los boletines.

Posición en el ecosistema

KeygraphHQ/shannon

implementa

ai-pentesting Concepto

KeygraphHQ/shannon

relevante para

keygraph Empresa

Expandir en el grafo 3D →

Relaciones que aportó este boletín

implementsai-pentestingnuevo relevant_tokeygraphnuevocompetes_withhuman-pentestnuevo

Por qué importa

El pitch de Shannon es demoledor y resume el problema: "gracias a Claude Code y Cursor, tu equipo shippea código sin parar. Pero tu pentest? Una vez al año". Shannon automatiza ese gap combinando análisis estático del código fuente con browser automation y command-line execution para correr exploits reales contra la app y sus APIs, y solo reporta vulnerabilidades con PoC funcional — no findings especulativos. Soporta Anthropic, OpenAI, xAI y AWS Bedrock, así que no te ata a un vendor. La release de Shannon 2.0 (2026-08-14) viene acompañada de sample reports públicos que sirven de benchmark: OWASP Juice Shop (20+ vulns), c{api}tal API (15 críticas/altas) y OWASP crAPI (15+). Para CSS: la seguridad automatizada deja de ser "enterprise tier" y se vuelve developer-grade — puedes correrlo en CI contra cada build o release en vez de esperar al pentest anual. Caveat operativo: la licencia AGPL-3.0 obliga a abrir derivados en red; si lo embebes en un producto SaaS, evalúa implicaciones legales antes de adoptarlo.

Alerta

correr Shannon contra una app intencionalmente vulnerable como Juice Shop; documentar el report para un post de seguridad AI

Apariciones · 1

2026-08-14 hallazgo principal
primera vez en el boletín

Señales de madurez (texto original)

46.803★ · 5.404 forks · TypeScript · creado 2025-09-27 · último push 2026-08-14 00:15 UTC · licencia AGPL-3.0. Repo original. Default branch: main. 31 issues abiertos. Homepage: https://keygraph.io. Topics: ai-penetration-testing, ai-security, api-security, appsec, ci-cd, cybersecurity, devsecops, ethical-hacking, offensive-security, owasp. README incluye llms.txt y llms-full.txt (agent-friendly). Flag AGPL-3.0: copyleft fuerte — no recomendable para productos SaaS propietarios que integren Shannon sin abrir su propio código.