Ciberseguretat
Shannon 3.0, el pentester autònom de codi obert que examina el codi abans d'atacar
Keygraph ha publicat Shannon 3.0, un pentester (auditor d'intrusió) autònom de codi obert que primer reconstrueix l'arquitectura d'una aplicació llegint-ne el codi font i només després llança l'atac contra l'aplicació en execució. Aquest ordre invertit és la clau de la seva proposta: menys trets a cegues i més hipòtesis fonamentades. L'eina arriba a un nínxol que ja ocupen productes comercials com XBOW i plataformes de seguretat com Aikido.
Rep el resum diari d'IA
Cada matí, l'essencial de la intel·ligència artificial al teu correu, sense fum. Al dia amb la IA.
En subscriure-t'hi acceptes rebre el butlletí d'AI Informator. Pots donar-te de baixa quan vulguis.
En resum
- Keygraph ha alliberat Shannon 3.0 com a projecte de codi obert, a diferència de la majoria de rivals del sector, que operen com a serveis tancats de pagament.
- El sistema combina anàlisi estàtica del repositori amb explotació dinàmica contra l'aplicació desplegada, en lloc de limitar-se a un dels dos enfocaments.
- El mapatge previ de l'arquitectura permet a l'agent prioritzar rutes d'atac concretes i reduir el soroll de falsos positius habitual en els escàners automàtics.
- La versió se situa en competència directa amb XBOW i amb suites de seguretat per a desenvolupadors com Aikido.
El canvi és llegir abans de disparar
Els escàners de seguretat tradicionals es divideixen en dues famílies. El SAST (static application security testing, anàlisi estàtica de seguretat d'aplicacions) revisa el codi sense executar-lo i tendeix a generar molts avisos que mai no es materialitzen en una fallada real. El DAST (dynamic application security testing, anàlisi dinàmica de seguretat d'aplicacions) ataca l'aplicació viva, però ho fa sense conèixer-ne l'estructura interna i malbarata esforç provant rutes irrellevants.
Shannon 3.0 encadena tots dos mons. Primer recorre el repositori per a construir un mapa de l'arquitectura: quins endpoints (punts d'accés de la interfície) existeixen, com flueixen les dades de l'usuari i on es prenen les decisions d'autenticació. Amb aquest model mental, l'agent formula hipòtesis de vulnerabilitat i les verifica executant-les contra l'aplicació real. Una vulnerabilitat només es reporta si s'ha explotat de debò.
El codi obert és aquí la diferència competitiva
El segment del pentesting (auditoria d'intrusió) automatitzat amb agents d'IA s'ha omplert en poc temps de propostes comercials. XBOW va guanyar notorietat en escalar posicions en plataformes públiques de bug bounty (recompenses per errors), i eines com Aikido s'han posicionat com a capa de seguretat integrada en el flux de treball del desenvolupador. Gairebé totes comparteixen un tret: són caixes negres allotjades pel proveïdor.
Publicar Shannon 3.0 amb llicència oberta canvia el càlcul per a qui audita. Un equip pot desplegar-lo en la seva pròpia infraestructura, revisar com raona l'agent, ajustar el model de llenguatge que l'impulsa i auditar què s'envia fora de l'organització. Per a sectors amb dades sensibles o requisits reguladors estrictes, aquesta capacitat d'inspecció pesa més que uns quants punts de diferència en una taula comparativa.
La verificació continua sent el coll d'ampolla
Cal moderar l'entusiasme. Les comparatives entre pentesters autònoms se sustenten sovint en benchmarks (proves de rendiment) amb vulnerabilitats preparades, que no reflecteixen la complexitat d'una aplicació en producció amb anys de deute tècnic, integracions heretades i lògica de negoci idiosincràtica. Superar un competidor en un banc de proves no equival a substituir un equip humà de seguretat ofensiva.
Hi ha, a més, una asimetria incòmoda: la mateixa tecnologia que ajuda a defensar abarateix l'atac. Un agent capaç de llegir un repositori públic i trobar la cadena d'explotació és tan útil per a l'equip de seguretat com per a qui el vol comprometre. La publicació oberta accelera els dos costats d'aquesta balança, un dilema clàssic en la comunitat de seguretat que l'automatització amb IA no resol, sinó que amplifica.
Conclusió
Shannon 3.0 encaixa en una tendència de fons: els agents d'IA deixen de ser assistents que suggereixen i passen a ser operadors que executen i verifiquen la seva pròpia feina. En seguretat, aquesta verificació empírica —explotar de debò abans de reportar— és justament el que fa útil l'automatització, perquè elimina el cost de garbellar alertes falses. Que arribi com a codi obert amplia l'accés a equips petits que mai no podrien pagar una auditoria contínua, però també redueix la barrera d'entrada a l'altre costat. L'any vinent dirà si aquestes eines es consoliden com a part estàndard del pipeline (canonada de processos) de desplegament o si es queden en un complement puntual abans de cada llançament.
Fonts primàries
Rep el resum diari d'IA
Cada matí, l'essencial de la intel·ligència artificial al teu correu, sense fum. Al dia amb la IA.
En subscriure-t'hi acceptes rebre el butlletí d'AI Informator. Pots donar-te de baixa quan vulguis.
Comentarios