keygraphhq/shannon은 웹 애플리케이션과 API를 대상으로 하는 AI 침투 테스트 도구(AI pentester)다. 소스 코드를 분석해 공격 경로를 찾고 실제 exploit을 실행해 취약점이 프로덕션에 닿기 전에 증명한다. TypeScript로 작성됐고 라이선스는 AGPL-3.0이며, 최신 릴리스는 v3.4.0이다. 다만 이 릴리스의 변경 내역은 현재 기록에 남아 있지 않아 무엇이 달라졌는지는 확인되지 않는다.
이 도구는 애플리케이션 보안 분석과 검증이라는 전문 보안 업무를 자동화한다. README는 Shannon을 Keygraph가 개발한 자율형(autonomous) AI pentester로 소개한다. 소스 코드를 분석해 공격 경로를 찾고 실제 exploit을 실행한 뒤, 동작하는 proof-of-concept가 확인된 취약점만 보고한다고 설명한다. exploit은 취약점을 그대로 이용해 문제가 실제로 발생한다는 것을 보여주는 코드고, proof-of-concept는 그 동작을 재현할 수 있는 최소 예시다. 저장소에는 명령줄에서 로컬로 실행하는 Shannon 오픈소스 agent가 들어 있다. 별 수는 49171개고, 저장소는 2025년 9월 27일 만들어졌다.
근거는 여기서 끊긴다. 탐지율이나 오탐률 같은 성능 수치와 다른 도구와의 비교 자료가 없어 실제로 어느 정도 우위인지는 판단하기 어렵다. 점수도 10점 만점 기준 모멘텀 항목의 6.2점뿐이고 참신성·기술·품질 항목에는 값이 없다. 동작하는 proof-of-concept만 보고한다는 설명도 README의 주장이다. 소스 코드 접근을 전제로 하고 AGPL-3.0 라이선스를 따라야 하므로, 도입 전에 조건을 따져야 한다.