GitHub 上一个叫 Shannon 的开源项目刚突破 5 万 Star：一个会自己找漏洞、还会动手验证的 AI 渗透测试工具。
它先自主分析网站源码，锁定可疑点，然后不只停留在“可能有问题”，而是实际尝试发起攻击，验证成功了才写进报告。覆盖的类型很全：SQL 注入，看数据库查询漏洞会不会造成数据泄露；XSS，测网页能不能被注入恶意脚本；SSRF，测能否诱导服务器访问内部服务；还有身份认证绕过和权限绕过，看普通用户能不能摸到别人的数据或管理员接口。
开源版需要提供目标应用的源码，模型支持 GPT、Claude、Grok，也能接本地模型，还能接入 CI/CD——等于给自己用 AI 现写的项目配了一个自动安检员，写完顺手跑一遍。
这已经不是简单的代码审查，而是一个具备主动攻击能力的 Agent。红线说清楚：只能测自己有权测的项目，拿没授权的网站做实验就是违法，别碰。
正文完