Shannon: Der Open-Source KI-Pentester auf Basis von Claude Code

Der Sprecher stellt Shannon als autonomen KI-Pen-Tester vor, der moderne Sicherheitslücken wie SSRF und SQL-Injection aufspürt. Er reflektiert über persönliche Erfahrungen aus früheren Jobs, in denen externe Sicherheitsüberprüfungen Tausende von Dollar kosteten und oft langwierige Korrekturzyklen nach sich zogen. Shannon soll dieses Problem lösen, indem es beliebig oft und sogar innerhalb einer CI/CD-Pipeline ausgeführt werden kann. Da das Tool Open Source ist, entfallen theoretisch die Lizenzgebühren für die Software selbst. Besonders für Nicht-Experten stellt es eine benutzerfreundliche Alternative zu komplexen Tools wie Kali Linux dar.

In diesem Abschnitt wird die technische Basis von Shannon erläutert, die auf dem Anthropic Agent SDK und Docker Compose beruht. Für den Betrieb ist ein Claude-API-Schlüssel zwingend erforderlich, da herkömmliche Abonnements nicht unterstützt werden. Ein zentraler Bestandteil der Architektur ist Temporal, ein System zur Orchestrierung von Workflows, das eine dauerhafte Ausführung sicherstellt. Dies ist besonders wichtig, da Pen-Tests mehrere Stunden dauern können und Temporal den Fortschritt bei Abstürzen an Checkpoints speichert. Der Sprecher demonstriert das Klonen des Repositories und den Startvorgang gegen die Test-App OWASP Juice Shop.

Der Analyseprozess von Shannon ist in fünf logische Phasen unterteilt, die hier detailliert beschrieben werden. Es beginnt mit der Pre-flight-Phase zur Validierung der Umgebung, gefolgt von einer Pre-recon-Stufe zur statischen Code-Analyse der Anwendungsarchitektur. In der Recon-Phase nutzt das Tool Playwright, um die App wie ein echter Nutzer zu navigieren und eine Karte der Endpunkte zu erstellen. Danach folgen fünf parallele Pipelines, die gezielt nach Injection, XSS, SSRF sowie Authentifizierungs- und Autorisierungsfehlern suchen. Den Abschluss bildet die Zusammenführung aller Ergebnisse in einen finalen Sicherheitsbericht.

Der Sprecher zeigt den Fortschritt des Pen-Tests, der in seinem Fall insgesamt etwa zweieinhalb Stunden in Anspruch genommen hat. Er erklärt die Visualisierung in der Temporal-Weboberfläche, wo man die Ausführung der verschiedenen Agenten in Echtzeit verfolgen kann. Es wird deutlich, dass einige Prozesse aufgrund von Credit-Engpässen bei der API neu gestartet werden mussten, was die Gesamtdauer verlängerte. Die Authentifizierungs-Exploits stellten sich dabei als die zeitintensivsten Aufgaben heraus. Trotz der Dauer bietet das System eine Transparenz, die bei manuellen Tests oft fehlt.

In diesem Teil wird das Verzeichnis der Projektergebnisse (deliverables) untersucht, das eine überraschende Fülle an detaillierten Berichten enthält. Der Authentifizierungsbericht deckt beispielsweise elf kritische Schwachstellen auf, wie fehlendes HTTPS oder mangelndes Rate-Limiting. Besonders beeindruckend ist der "Comprehensive Security Assessment Report", der nicht nur Lücken auflistet, sondern konkrete Angriffsszenarien beschreibt. Für jede Schwachstelle wird ein exakter Curl-Befehl bereitgestellt, mit dem Entwickler den Exploit sofort selbst reproduzieren können. Dieser Detailgrad unterstreicht die Sorgfalt der KI-gestützten Bewertung.

Zum Abschluss beleuchtet der Sprecher die wirtschaftliche Seite und stellt fest, dass der Test etwa 60 USD an Claude-Credits verbraucht hat. Er vergleicht dies mit der Shannon Pro-Version, die zusätzliche Features wie CVSS-Scoring und offizielle Compliance-Berichte für Unternehmen bietet. Obwohl die Kosten für einen Indie-Hacker hoch sein mögen, ist das System für Startups im Vergleich zu menschlichen Testern immer noch sehr günstig. Es wird die Hoffnung geäußert, dass zukünftige Versionen auch andere Modelle oder Abos unterstützen, um die Kosten zu senken. Das Video endet mit einem Ausblick auf die sichere Installation von OpenHands auf einem VPS.