Los pentesters siempre han tenido que automatizar ciertas acciones para poder realizar su trabajo correctamente, e intentar explotar vulnerabilidades que se hayan encontrado. Algunas de las herramientas más populares son Nmap para escanear puertos y ejecutar scripts, así como Metasploit, Nessus, Burp Suite, así como WireShark y Aircrack-ng entre otras muchas. Ahora tenemos una nueva herramienta que potenciará el arte del pentesting, su nombre es Shannon y es una IA que permitirá explotar vulnerabilidades en los sistemas. A continuación, analizamos en detalle su funcionamiento y las diferencias clave con las herramientas tradicionales.
Actualmente la IA se puede usar para ayudar a proteger los sistemas, pero también para atacarlos. Proyectos recientes como OpenClawd permite incorporar las populares IA como ChatGPT, Gemini o Claude a una plataforma local, y poder hacer hardening del servidor buscando los principales problemas de seguridad, pero también para automatizar muchas otras acciones. Shannon es un proyecto de código abierto desarrollado y mantenido por KeygraphHQ, una organización nueva en el ámbito de las herramientas de ciberseguridad ofensiva, es capaz de proporcionar exploits reales y no solamente alertar de que existe un problema de ciberseguridad.
¿Qué es y cómo funciona?
Esta herramienta es un pentester de IA que nos proporcionará la forma de explotar las diferentes vulnerabilidades que se encuentren en el sistema. No solamente nos avisará de que hay un problema de seguridad, ya sea debido a una mala configuración del servidor o de la red, o bien porque hay una vulnerabilidad en un software que no ha sido actualizado debidamente, lo que también nos proporcionará es directamente el programa para poder explotar ese fallo de seguridad.
El objetivo de esta herramienta automatizada es romper nuestro sistema antes de que alguien más lo haga. En cualquier tarea de pentesting, es muy importante buscar vectores de ataque para hacernos con el control completo del sistema, Shannon es capaz de buscar de forma autónoma diferentes vectores de ataque de forma completamente automática, después es capaz de usar su navegador integrado para ejecutar estos exploits reales en el sistema, así como ataques de inyección e incluso evadir la autenticación en los sistemas. Esta herramienta tiene como finalidad hacer el bien, es decir, debemos tener permiso para hacer el trabajo de pentesting.
Algunas de las principales características de Shannon, son las siguientes:
- Funcionamiento totalmente autónomo: con tan solo ejecutar un comando, la herramienta se encargará de realizar todo el pentesting. La IA gestionará todo, desde los inicios de sesión avanzados con autenticación en dos pasos, pasando por la navegación usando el navegador integrado, hasta el informe final de la evaluación del sistema. Un escaneo básico se podría iniciar con el siguiente comando: shannon scan –target redeszone.net
- Los informes incorporan exploits reproducibles, para que comprobemos que, efectivamente, hay un fallo de seguridad y que es explotable. Nos proporcionará pruebas de concepto fáciles de ejecutar, y así obtener resultados prácticos.
- Hace uso de OWASP para ver las vulnerabilidades críticas del sistema, por lo que identifica y valida las vulnerabilidades críticas de inyección, XSS, SSRF y tipos de autenticaciones rotas.
- Pruebas dinámicas que se encarga de reconocer el código, es capaz de guiar de forma inteligente la estrategia de ataque, y ejecutar el exploit en tiempo real.
- Usa herramientas muy populares y ampliamente usada por pentesters, como Nmap, Subfinder, WhatWeb y Schemathesis para realizar un análisis en profundidad de los objetivos.
- Procesamiento y trabajo en paralelo, con el objetivo de obtener resultados rápidos. Todas las pruebas de pentesting se hacen simultáneamente, para reducir el tiempo al mínimo.
Como podéis ver, esta nueva herramienta de IA será el mejor compañero para un pentester, ya que permitirá automatizar muchas tareas. Aunque lógicamente esta IA no sustituye a un pentester, sí facilitará enormemente su trabajo.
Shannon es capaz de integrar algunas IA como la de Claude, pero también podemos usar OpenAI y Google Gemini a través de OpenRouter.
Diferencias respecto a herramientas de pentesting tradicionales
Shannon es capaz de generar estrategias de explotación en tiempo real, a diferencia de otras herramientas como Metasploit que tiene una base de datos fija de módulos de explotación. Esta herramienta está construida sobre Claude Agent SDK de Anthropic, y es capaz de buscar código fuente de forma simultánea con la aplicación en ejecución, analizando todo para diseñar ataques personalizados y adaptados al código fuente.
La principal diferencia es que Shannon proporciona evidencia concreta con un exploit que funciona, respecto al análisis estático de las herramientas habituales. No solamente es capaz de decir que un inicio de sesión está mal configurado y es vulnerable, sino que es capaz de hackearlo, descargar datos y mostrártelo en el informe como prueba. Esto permite eliminar los falsos positivos y proporciona evidencia forense de las vulnerabilidades.
| Característica | Shannon (IA Autónoma) | Nmap / Metasploit (Tradicional) |
|---|---|---|
| Método de Explotación | Generación dinámica de exploits mediante IA, adaptada al contexto. | Uso de una base de datos de módulos de exploits predefinidos. |
| Autonomía | Capacidad de ejecución completa (end-to-end) con un solo comando. | Requiere intervención manual secuencial del operador. |
| Pruebas de Concepto (PoC) | Genera e incluye PoC reproducibles en los informes finales. | Las PoC a menudo requieren desarrollo o adaptación manual. |
| Enfoque de Análisis | Análisis dinámico del código y comportamiento en tiempo real. | Principalmente escaneo de puertos, servicios y comparación con bases de datos de vulnerabilidades. |
| Actualización | Continua, basada en el reentrenamiento de los modelos de IA. | Dependiente de actualizaciones periódicas de la base de datos de firmas y módulos. |
¿No puede hacerlo esto una persona?
Sí, los pentesters son capaces de hacer esto, pero no tan rápidamente como lo hace Shannon. Si combinamos la experiencia de un pentester, junto a esta herramienta que automatiza muchísimas acciones, tenemos como resultado a un pentester experto y rápido, perfecto para que actúe como un pentester «whitebox» bajo demanda, sin necesidad de revisar el código una vez al año o dos veces el año, sino que lo puede hacer de forma continuada para evitar problemas potenciales.
Un aspecto muy importante, es que esta herramienta ha sido diseñada por profesionales de ciberseguridad para profesionales de la ciberseguridad y hacking ético, por lo que es necesario que uses esta herramienta allí donde tengas permiso explícito. Esta herramienta también se puede usar para fines maliciosos, así que debes usarla con precaución. Sin lugar a dudas, esta nueva herramienta permitirá a los pentesters trabajar mejor y más rápido, además, se puede ejecutar diariamente para proporcionar auditorías de forma continuada.
Os recomendamos acceder a la web oficial de Shannon en GitHub donde encontraréis toda la información, y también cómo descargar e instalar esta IA para hacer pruebas de penetración en tus sistemas.