Shannon Lite — 코드를 읽고 진짜 익스플로잇을 던지는 AI 펜테스터

96.15%

XBOW 펜테스트 벤치마크 104 챌린지 중 100개를 통과했어. 96.15%라는 숫자는 자율 AI 펜테스트 도구 카테고리에서 새 SOTA야. Shannon Lite는 Keygraph가 AGPL-3.0으로 공개한 OSS 버전으로, 첫 24시간에 1,400별을 받고 누적 31K로 GitHub 트렌딩 1위를 잡았어.

이걸로 뭘 할 수 있는지 — 30분~1.5시간, 평균 $50로 한 번 풀 펜테스트가 끝나.

프로젝트 배경 — Keygraph가 푼 문제

기존 펜테스트 도구는 두 갈래였어. 한쪽은 Burp Suite·OWASP ZAP처럼 사람이 운전하는 인터랙티브 도구, 다른 쪽은 Nuclei처럼 시그니처 기반 자동 스캐너. 첫째는 비싸고 느리고, 둘째는 페이로드 다양성이 부족했어.

Shannon은 그 중간에 LLM을 깐 첫 본격 사례야. 화이트박스(소스 코드 접근) 모드에서 코드를 분석해 공격 벡터를 추론하고, 실제 페이로드를 던져서 PoC까지 만들어. 시뮬레이션이 아니라 진짜 실행.

[IMG#1]

핵심 기능 — 4단 파이프라인

정찰 → 병렬 분석 → 병렬 익스플로잇 → 리포트

각 단계 설명:

1. 정찰 — 타겟 앱의 라우트·인증 흐름·외부 API 호출을 자동 매핑.
2. 병렬 분석 — 여러 LLM 인스턴스가 코드의 취약점 패턴을 동시에 스캔.
3. 병렬 익스플로잇 — 각 가설에 대해 실제 페이로드를 격리 환경에서 발사.
4. 리포트 — 성공한 익스플로잇만 PoC 영상·페이로드·재현 절차로 정리.

기술 스택 + 아키텍처

• 언어: TypeScript / Node.js
• 번들러: tsdown(ESM)
• 격리: Docker 워커 이미지(~1GB)
• LLM: Claude API 전용 튜닝
• 실행: 단일 npx @keygraph/shannon 또는 docker pull

Claude 모델 전용으로 튜닝됐다는 게 디자인 결정의 핵심이야. 다른 LLM에서도 동작하지만, 공격 코드 생성·도구 호출 정확도가 Claude 4.5 Opus 환경에서 가장 안정적이라고 README가 명시.

경쟁 레포 비교

레포	별	라이선스	포지션
KeygraphHQ/shannon	31K	AGPL-3.0	자율 AI 펜테스터, 화이트박스
xbow-engineering/xbow	18K	Apache-2.0	자율 펜테스터, 자체 벤치
ProjectDiscovery/nuclei	21K	MIT	시그니처 기반 스캐너
OWASP ZAP	13K	Apache-2.0	인터랙티브 + 자동 스캐너

표가 보여주는 건 — Shannon이 "AI 자율 펜테스트" 카테고리에서 별 수로 1번이 됐어. XBOW가 직접 만든 벤치에서 SOTA를 달성했다는 사실은 꽤 강한 시그널이야.

[IMG#2]

왜 지금 뜨는가 — 생태계 맥락

네 가지 흐름이 모였어. (1) Claude 4.5 Opus의 코드 분석·도구 사용 정확도가 화이트박스 펜테스트에 충분한 임계치를 넘었어. (2) MCP 표준이 보안 도구·취약점 DB를 LLM에 연결하기 쉽게 만들었어. (3) XBOW·PortSwigger AI 같은 상용 자율 펜테스트 서비스가 시장을 검증해 OSS 수요를 키웠어. (4) AGPL이라는 강한 카피레프트로 "SaaS로 갈취하는 회사"를 차단해 신뢰를 쌓았어.

Hacker News에서는 "이건 Recon-ng/Nmap 다음 표준이 될 가능성"이라는 댓글이 가장 많은 추천을 받았어.

시작하기

# Node 18+ 설치 후
npx @keygraph/shannon

# 또는 Docker로
docker pull keygraphhq/shannon-worker
docker run keygraphhq/shannon-worker --target https://your.app

흔한 함정 — ANTHROPIC_API_KEY 환경변수를 먼저 셋업해야 해. 무료 키론 못 돌리고, 평균 펜테스트당 $50 정도 소비됨. 자기 회사 자산이 아닌 타겟에 던지는 건 법적 위험이 크니 본인 자산 또는 명시적 허가 받은 자산에만 사용해.

한계와 전망

지금 한계는 두 가지. (1) 실제 운영망에서 동작 시 false positive 비율은 여전히 약 8% — Burp Suite의 약 12%보다는 낫지만 zero에 가까운 건 아냐. (2) AGPL이라 사내 프로덕트에 직접 임베드하기 까다로워 — Shannon Pro(SaaS)가 그 대안이야.

전망 — 다음 6개월 안에 (a) Claude 외 다른 LLM 어댑터 추가, (b) 블랙박스 모드(소스 없이) 정확도 개선, (c) MCP 통합으로 SIEM·티켓 시스템에 자동 연동까지 갈 듯. Keygraph 팀은 "방어 도구(블루팀) 버전"도 로드맵에 올렸어.

[IMG#3]

3줄 요약

• Shannon Lite가 XBOW 벤치 96.15% — 자율 AI 펜테스트 새 SOTA, 첫날 1,400별.
• 4단 파이프라인(정찰·분석·익스플로잇·리포트)으로 30분~1.5시간 만에 펜테스트 완료.
• AGPL 카피레프트로 "SaaS 갈취" 차단, Pro SaaS와 OSS 듀얼 모델로 비즈니스 지속.

참고 자료

• GitHub — KeygraphHQ/shannon
• Keygraph — 공식 사이트
• XBOW — 공식 벤치마크
• Nuclei — 경쟁 시그니처 스캐너
• Hacker News — Shannon 토론