サイバーニュース.jp

世界のサイバーなニュースを配信

Shannon: 自動化AIツールがNmap統合によりセキュリティ脆弱性を発見し、悪用する

カテゴリ:

概要

Keygraph社は、Webアプリケーションの実際の脆弱性を特定し、悪意のある攻撃者よりも早く積極的に悪用するための完全自動化されたAI駆動型ペネトレーションテストツールであるShannonをリリースしました。

Shannonの機能

Shannonは、Anthropic社のClaude Agent SDKを使用して、人間のレッドチームオペレーターを模倣する4段階のマルチエージェントパイプラインで動作します。これにより、ソースコード解析とブラックボックス動的悪用が組み合わさり、深いコードコンテキストと現実世界での攻撃検証が可能になります。

Shannonのワークフロー

  • リコンナイスン: ソースコードを分析し、Nmap、Subfinder、WhatWeb、Schemathesisなどの統合ツールを使用してエンドポイントやAPIルート、認証メカニズムを列挙します。
  • 脆弱性解析: ユーザー入力をデータフローを通じて追跡し、インジェクション、XSS、SSRF、ブロッケン認証などのOWASPカテゴリでの脆弱性を特定します。
  • 悪用: ブラウザ自動化やCLIツールを使用して現実世界の攻撃を試みます。仮説が実際に悪用できない場合は、偽陽性として排除されます。
  • レポート作成: 証明可能なPoCエクスプロイトと共に専門的なレポートを作成し、ノイズや虚構のアーティファクトを排除します。

Shannonの主要な特徴

  • 完全自動化: 2FA/TOTP、ブラウザナビゲーション、レポート作成を含む単一コマンドで起動。
  • Nmap統合: Nmap、Subfinder、WhatWeb、Schemathesisなどのツールを使用して深いリコンを行います。
  • OWASP脆弱性カバレッジ: インジェクション、XSS、SSRF、ブロッケン認証など。
  • コード認識型動的テスト: 白箱ソースコード解析が黒箱のライブエクスプロイト実行をガイドします。
  • 並列処理: すべての脆弱性タイプに対する同時エージェントにより、全体的な実行時間を短縮します。
  • ペネトレーションテストグレードレポート: 再現可能なPoCエクスプロイトと未確認の発見を含みません。

Shannonのセットアップ手順

  1. Dockerをインストールし、AnthropicコンソールからAPIキーを取得します。

  2. リポジトリをクローンします: git clone https://github.com/KeygraphHQ/shannon.git && cd shannon

  3. 認証情報を設定します: export ANTHROPIC_API_KEY=

    元記事: https://gbhackers.com/shannon-autonomous-ai-tool-with-nmap-integration/

投稿をさらに読み込む