shannon — скилл для Claude Code: автономный пентест веб-приложений
Скилл запускает Shannon: он читает исходники вашего приложения, ищет векторы атаки и выполняет настоящие эксплойты, чтобы доказать уязвимость.
npx skills add unicodeveloper/shannon --skill shannon -a claude-codeЧто делает shannon
Шеннон работает в белом ящике: вы даёте ему URL цели и папку с кодом, а он связывает уязвимость в исходнике с реальным запросом к запущенному приложению. Покрытие — категории OWASP Top 10, включая инъекции, XSS, SSRF и поломанную авторизацию. Отчёт получается с доказательством, а не с догадкой.
Внутри скилла — обвязка над Docker-инструментом: он клонирует или обновляет репозиторий в ~/shannon, подкладывает ваш код в repos/{REPO_NAME}, проверяет наличие docker и git и ключа ANTHROPIC_API_KEY. Для целей с логином нужен YAML-конфиг с формой входа и правилами focus/avoid, иначе авторизованные страницы он просто не увидит.
Эксплойты настоящие и меняют состояние цели. Прогон по продакшену — плохая идея, потому что ничто в скилле вас от этого не удержит. Перед запуском он спрашивает подтверждение авторизации и напоминает, что отчёт надо смотреть глазами человека.
Какие задачи решает
- найти уязвимости в своём коде до релиза
- подтвердить эксплойтом, что XSS действительно срабатывает
- проверить авторизацию на скрытых эндпоинтах
- прогнать аудит по категориям OWASP Top 10
- возобновить прерванный пентест в том же workspace
Примеры запросов агенту
- Запусти пентест
http://localhost:3000по коду в./myapp - Проверь только
xssиinjectionнаhttp://localhost:8080, код вfrontend - Покажи последний отчёт Shannon
Как установить shannon
1Через Skills CLI (Vercel)
npx skills add unicodeveloper/shannon --skill shannon -a claude-code2Вручную: положить файлы
~/.claude/skills/shannon/SKILL.mdПапка скилла целиком; для одного проекта — .claude/skills/shannon/
1Через Skills CLI (Vercel)
npx skills add unicodeveloper/shannon --skill shannon -a codex2Вручную: положить файлы
.agents/skills/shannon/SKILL.mdДля всех проектов — ~/.agents/skills/
1Через Skills CLI (Vercel)
npx skills add unicodeveloper/shannon --skill shannon -a cursor2Вручную: положить файлы
.cursor/skills/shannon/SKILL.mdCursor читает и .agents/skills/, и .claude/skills/
1GitHub CLI
gh skill install unicodeveloper/shannon shannon2Вручную: положить файлы
.github/skills/shannon/SKILL.md1Через Skills CLI (Vercel)
npx skills add unicodeveloper/shannon --skill shannon -a gemini-cli2Командой платформы
gemini skills install https://github.com/unicodeveloper/shannonВручную: положить файлы
.devin/skills/shannon/SKILL.mdСтарый путь .windsurf/skills/ тоже читается
Через Skills CLI (Vercel)
npx skills add unicodeveloper/shannon --skill shannon -a opencodeClaude.ai
Упакуйте папку в zip и загрузите в Settings → Capabilities → Skills
По шагам, с командами для каждой платформы: Как установить скилл в Claude Code: пять способов
Вопросы о shannon
Как установить shannon в Claude Code?
Выполните npx skills add unicodeveloper/shannon --skill shannon -a claude-code. Скилл появится по пути ~/.claude/skills/shannon/SKILL.md.
Что делает shannon?
Проводит white-box аудит веб-приложения или API: читает исходники, ищет векторы атаки и запускает реальные эксплойты, чтобы подтвердить найденные уязвимости.
Что нужно, чтобы скилл заработал?
docker и git в системе и ключ ANTHROPIC_API_KEY. Вместо ключа можно включить режим Bedrock или Vertex через переменные окружения.
