Ciberseguridad
Shannon 3.0, el pentester autónomo de código abierto que examina el código antes de atacar
Keygraph ha publicado Shannon 3.0, un pentester (auditor de intrusión) autónomo de código abierto que primero reconstruye la arquitectura de una aplicación leyendo su código fuente y solo después lanza el ataque contra la aplicación en ejecución. Ese orden invertido es la clave de su propuesta: menos disparos a ciegas y más hipótesis fundamentadas. La herramienta llega a un nicho que ya ocupan productos comerciales como XBOW y plataformas de seguridad como Aikido.
Recibe el resumen diario de IA
Cada mañana, lo esencial de la inteligencia artificial en tu correo, sin humo. Al día con la IA.
Al suscribirte aceptas recibir el newsletter de AI Informator. Puedes darte de baja cuando quieras.
En resumen
- Keygraph ha liberado Shannon 3.0 como proyecto de código abierto, frente a la mayoría de rivales del sector, que operan como servicios cerrados de pago.
- El sistema combina análisis estático del repositorio con explotación dinámica contra la aplicación desplegada, en lugar de limitarse a uno de los dos enfoques.
- El mapeo previo de la arquitectura permite al agente priorizar rutas de ataque concretas y reducir el ruido de falsos positivos habitual en los escáneres automáticos.
- La versión se sitúa en competencia directa con XBOW y con suites de seguridad para desarrolladores como Aikido.
El cambio está en leer antes de disparar
Los escáneres de seguridad tradicionales se dividen en dos familias. El SAST (static application security testing, análisis estático de seguridad de aplicaciones) revisa el código sin ejecutarlo y tiende a generar muchos avisos que nunca se materializan en un fallo real. El DAST (dynamic application security testing, análisis dinámico de seguridad de aplicaciones) ataca la aplicación viva, pero lo hace sin conocer su estructura interna y desperdicia esfuerzo probando rutas irrelevantes.
Shannon 3.0 encadena ambos mundos. Primero recorre el repositorio para construir un mapa de la arquitectura: qué endpoints (puntos de acceso de la interfaz) existen, cómo fluyen los datos del usuario y dónde se toman las decisiones de autenticación. Con ese modelo mental, el agente formula hipótesis de vulnerabilidad y las verifica ejecutándolas contra la aplicación real. Una vulnerabilidad solo se reporta si se ha explotado de verdad.
El código abierto es aquí la diferencia competitiva
El segmento del pentesting automatizado con agentes de IA se ha llenado en poco tiempo de propuestas comerciales. XBOW ganó notoriedad al escalar posiciones en plataformas públicas de bug bounty (recompensas por errores), y herramientas como Aikido se han posicionado como capa de seguridad integrada en el flujo de trabajo del desarrollador. Casi todas comparten un rasgo: son cajas negras alojadas por el proveedor.
Publicar Shannon 3.0 con licencia abierta cambia el cálculo para quien audita. Un equipo puede desplegarlo en su propia infraestructura, revisar cómo razona el agente, ajustar el modelo de lenguaje que lo impulsa y auditar qué se envía fuera de la organización. Para sectores con datos sensibles o requisitos regulatorios estrictos, esa capacidad de inspección pesa más que unos puntos de diferencia en una tabla comparativa.
La verificación sigue siendo el cuello de botella
Conviene templar el entusiasmo. Las comparativas entre pentesters autónomos se apoyan con frecuencia en benchmarks (pruebas de rendimiento) con vulnerabilidades preparadas, que no reflejan la complejidad de una aplicación en producción con años de deuda técnica, integraciones heredadas y lógica de negocio idiosincrásica. Superar a un competidor en un banco de pruebas no equivale a sustituir a un equipo humano de seguridad ofensiva.
Hay además una asimetría incómoda: la misma tecnología que ayuda a defender abarata el ataque. Un agente capaz de leer un repositorio público y encontrar la cadena de explotación es tan útil para el equipo de seguridad como para quien busca comprometerlo. La publicación abierta acelera ambos lados de esa balanza, un dilema clásico en la comunidad de seguridad que la automatización con IA no resuelve, sino que amplifica.
Conclusión
Shannon 3.0 encaja en una tendencia de fondo: los agentes de IA dejan de ser asistentes que sugieren y pasan a ser operadores que ejecutan y verifican su propio trabajo. En seguridad, esa verificación empírica —explotar de verdad antes de reportar— es justamente lo que hace útil la automatización, porque elimina el coste de cribar alertas falsas. Que llegue como código abierto amplía el acceso a equipos pequeños que nunca podrían pagar una auditoría continua, pero también reduce la barrera de entrada al otro lado. El próximo año dirá si estas herramientas se consolidan como parte estándar del pipeline de despliegue o si se quedan en un complemento puntual antes de cada lanzamiento.
Fuentes primarias
Recibe el resumen diario de IA
Cada mañana, lo esencial de la inteligencia artificial en tu correo, sin humo. Al día con la IA.
Al suscribirte aceptas recibir el newsletter de AI Informator. Puedes darte de baja cuando quieras.
Comentarios