Was ist Shannon? Der autonome KI-Pentester für Web-Apps 2026

Shannon ist ein autonomer White-Box-KI-Pentester für Webanwendungen und APIs, entwickelt von Keygraph. Der Shannon KI Pentester analysiert den Quellcode einer Anwendung, identifiziert Angriffsvektoren und führt anschließend echte Exploits gegen die laufende Anwendung aus. Nur verifizierte Schwachstellen mit funktionierendem Proof-of-Concept landen im Abschlussbericht.

Während klassische SAST-Tools Muster erkennen und theoretische Risiken melden, kombiniert das Shannon Tool statische Quellcodeanalyse mit dynamischer Ausführung: Injection-Angriffe, XSS, SSRF und Authentication-Bypass werden automatisiert getestet und bestätigt. Stand April 2026 erreicht Shannon Lite eine Erfolgsrate von 96,15 Prozent auf dem hint-free XBOW-Benchmark (100 von 104 Exploits).

Der autonome Pentester positioniert sich explizit als Gegengewicht zu Vibe Coding: „Der Red Team zu deinem Vibe-Coding Blue Team.“ Wer mit Claude Code oder Cursor im Dauerbetrieb Code generiert, kann Shannon in die CI/CD-Pipeline integrieren und so jedes Release automatisch auf Sicherheitslücken prüfen lassen. Eine sinnvolle Ergänzung ist dabei Vise Coding, der strukturierte Ansatz für wartbaren AI Code mit Guardrails.

Shannon ist in zwei Editionen verfügbar, die sich in Funktionsumfang und Deployment unterscheiden:

• Shannon Lite (Open Source): Das Kern-Framework auf GitHub. Geeignet für lokales White-Box-Pentesting eigener Anwendungen. Start per npx @keygraph/shannon setup, ein einzelner Befehl startet den vollständigen Pentest-Durchlauf.
• Shannon Pro: Die All-in-One-AppSec-Plattform von Keygraph. Kombiniert SAST, SCA (Software Composition Analysis), Secrets-Scanning, Business-Logic-Testing und autonomes Pentesting in einem Workflow. Self-Hosted-Deployment über ein Runner-Modell, bei dem Quellcode und LLM-Calls die eigene Infrastruktur nie verlassen.

Für europäische Unternehmen mit DSGVO-Anforderungen ist das Keygraph Sicherheitstool besonders interessant: Das Self-Hosted-Modell stellt sicher, dass weder Quellcode noch AI-Anfragen über Keygraph-Server laufen. Wer zusätzlich auf strukturiertes AI Coding mit Guardrails setzt, erhält mit Shannon Pro die passende Sicherheitsebene dazu. NCA unterstützt beim Aufbau solcher on-premise Sicherheitsinfrastrukturen: kostenlose Erstberatung anfragen.

Shannon durchläuft bei jedem Pentest vier Phasen automatisch:

• Reconnaissance: Shannon liest den Quellcode und erstellt ein Modell der Anwendungsarchitektur – Routen, Auth-Mechanismen, Datenbankzugriffe.
• Parallele Schwachstellenanalyse: KI-Agenten suchen gleichzeitig nach Injection-Pfaden, XSS-Sinks, SSRF-Vektoren und Broken Authentication.
• Parallele Exploitation: Browser-Automatisierung und CLI-Tools führen die gefundenen Angriffsvektoren live gegen die laufende Anwendung aus.
• Reporting: Nur Schwachstellen mit funktionierendem Proof-of-Concept gelangen in den Abschlussbericht – inklusive Copy-Paste-Exploit-Code.

Shannon Pro erweitert diesen Ablauf um eine Code Property Graph (CPG)-Analyse: Der Graph kombiniert Abstract Syntax Tree (AST), Control Flow Graph und Program Dependence Graph. LLM-Agenten bewerten an jedem Knoten des Pfads, ob die eingesetzte Sanitization für genau diese Schwachstelle an genau dieser Stelle ausreicht – eine Fähigkeit, die reguläre SAST-Tools mit statischen Allowlists nicht haben.

Shannon Lite läuft via Docker und benötigt einen Anthropic API Key. Die Installation ist in zwei Modi möglich: via npx (empfohlen für schnellen Einstieg) oder lokal per Git-Clone.

Nach dem Start steht unter http://localhost:8233 das Temporal Web UI bereit, über das der Pentest-Fortschritt beobachtet werden kann. Shannon unternimmt 2FA/TOTP-Logins selbständig – manuelles Eingreifen ist nicht erforderlich. NCA integriert Shannon auf Wunsch direkt in bestehende CI/CD-Pipelines: Erstberatung anfragen.