Shannon 3.0、並列エージェント型SASTと実環境での脆弱性悪用により、検証済みの発見事項でCIを直接ブロック

KeygraphはShannon 3.0をリリースし、従来の偵察・動的ペネトレーションテストのフローを、2本の並列パイプラインへと拡張した。既存のエージェントが稼働中のWebアプリケーションから攻撃対象領域を探索する一方、新たなagentic SASTはソースコードからコンポーネント、インターフェース、データフロー、信頼境界、高リスク資産のモデルを構築する。両者が生成した脆弱性候補は、カテゴリ別に統合、重複排除、再調整された後、exploitation agentsに渡され、実際のアプリケーションに対する概念実証が試みられる。再現できなかった仮説は、最終的なfindingにはならない。

新バージョンでは、公式のGitHub ActionとGitLab CIコンポーネントも提供される。PDF、Markdown、JSON、SARIF 2.1.0形式のレポートをパイプライン成果物として保存し、悪用に成功した脆弱性の深刻度に基づいてデプロイをブロックするかどうかを判断できる。コード分析による推測だけではgateは作動しない。この区別により、一般的なLLM監査が生成した未検証の警告によってCIが直接停止する事態を回避できる。CLIには、固定形式のJSONエラー、エージェントごとの独立した永続ログ、再開可能なワークスペースも追加された。これにより、レート制限、接続切断、コンテナ停止の影響を受けた長時間のスキャンを最初からやり直す必要がなくなる。

ただし、アップグレードは容易ではない。`vuln_classes`設定は削除され、現在は5つの主要テストカテゴリが常にすべて実行される。旧フィールドを含む設定は検証に失敗する。また、2.xで作成したワークスペースを3.0で引き継ぐこともできない。さらに重要なのは、Shannonが受動的なスキャナーではない点だ。エージェントはアカウントの作成、フォームの送信、外部接続の発生、データの書き換えを行う可能性があるため、書面による許可を得た隔離テスト環境でのみ実行すべきである。プロジェクトが公開したPhotoviewでの結果は開発者自身によって検証されたものであり、モデル間でも再現率に明確な差がある。エンジニアリングチームは、マージゲートとしての適性を、独立したベンチマーク、人手によるレビュー、固定したモデルバージョンを用いて引き続き評価する必要がある。