keygraphhq/shannon は、Web アプリケーションと API を対象とする AI 侵入テストツール（AI pentester）だ。ソースコードを解析して攻撃経路を見つけ、実際の exploit を実行することで、脆弱性がプロダクションに到達する前にその存在を証明する。TypeScript で書かれ、ライセンスは AGPL-3.0、最新リリースは v3.4.0 である。ただし、このリリースの変更履歴は現在の記録には残っておらず、何が変更されたかは確認できない。
このツールは、アプリケーションセキュリティの解析と検証という専門セキュリティ業務を自動化する。README では Shannon を Keygraph が開発した自律型（autonomous）AI pentester と紹介している。ソースコードを解析して攻撃経路を見つけ、実際の exploit を実行したうえで、動作する proof-of-concept が確認された脆弱点のみを報告すると説明している。exploit は脆弱点をそのまま利用し、問題が実際に発生することを示すコードであり、proof-of-concept はその動作を再現できる最小限の例だ。リポジトリには、コマンドラインでローカル実行できる Shannon オープンソース agent が含まれる。star 数は 49171 個で、リポジトリは 2025 年 9 月 27 日に作成された。
根拠はここで途切れる。検知率や誤検知率といった性能指標も、他のツールとの比較資料もなく、実際にどの程度の優位性があるかは判断しづらい。スコアも 10 点満点基準でモメンタム項目が 6.2 点にとどまり、新規性・技術・品質項目には値がない。動作する proof-of-concept のみを報告するという説明も README の主張である。ソースコードへのアクセスを前提とし、AGPL-3.0 ライセンスへの準拠も必要になるため、導入 전에条件を吟味する必要がある。