🧨 AI-пентестер уже пришёл. И он не спрашивает разрешения у вашего годового плана ИБ

Наткнулся на интересный репозиторий — Shannon.

Это автономный AI-пентестер для веб-приложений: ему дают URL и исходники, а дальше он сам ищет векторы атаки, ходит браузером по приложению, пробует эксплуатацию и формирует отчёт не в стиле «возможно у вас проблема», а с воспроизводимыми PoC.

Суть очень простая:

раньше разработка ускорилась за счёт Cursor, Claude Code и vibe-coding,
а безопасность осталась жить в ритме «пентест раз в год».

В итоге команда выкатывает код каждый день, а проверка реальных дыр — когда-нибудь потом.

Shannon пытается закрыть именно этот разрыв:
не просто найти подозрительный участок, а доказать, что уязвимость реально эксплуатируется.

Что умеет:

— white-box анализ с доступом к исходникам;
— запуск через Docker;
— работа с браузером и CLI;
— проверка Injection, XSS, SSRF, Broken Auth/AuthZ;
— отчёты с воспроизводимыми эксплойтами;
— использование инструментов вроде Nmap, Subfinder, WhatWeb и Schemathesis;
— поддержка авторизованных сценариев, включая 2FA/TOTP.

В README заявлено, что Shannon Lite показал 96,15% success rate на hint-free, source-aware XBOW Benchmark. Также авторы пишут, что на OWASP Juice Shop инструмент нашёл 20+ критичных уязвимостей, включая auth bypass и эксфильтрацию базы.

И вот тут начинается самое интересное.

Мы привыкли думать об AI-агентах как о помощниках разработчика.
Но следующий этап — это агенты, которые не пишут код, а ломают код.

Причём не в теории.
Не в формате красивого security checklist.
А в формате: «вот путь атаки, вот payload, вот доказательство, вот бизнес-риск».

Это меняет саму механику DevSecOps.

Пентест перестаёт быть редким ритуалом перед аудитом.
Он становится частью конвейера: написал → собрал → поднял окружение → отдал агенту на взлом.

И да, это работает только на своих приложениях и в контролируемом контуре.
Но направление понятно:
если AI ускорил создание уязвимостей, AI же придётся ускорять и их обнаружение.

Добро пожаловать в эпоху, где у каждого vibe-coder должен быть свой AI-red team.

Репозиторий:
https://github.com/0xKayala/Shannon