Shannon skill

O Claude prepara e roda um teste de invasão no seu app em homologação e devolve as falhas com a prova de cada ataque que funcionou.

por unicodeveloper

instalações: 2.900
estrelas no GitHub: 56
No skills.sh desde: março de 2026
Licença: Sem licença declarada

Atualizada no GitHub em 9 de março de 2026. Dados conferidos em 26 de outubro de 2026, no skills.sh e no GitHub.

unicodeveloper
shannon
O Claude prepara e roda um teste de invasão no seu app em homologação e devolve as falhas com a prova de cada ataque que funcionou.2.900 instalações, grátis

O que ela faz

A skill comanda o Shannon, ferramenta de pentest da KeygraphHQ que roda em Docker. Ela baixa o Shannon pra pasta ~/shannon, liga o código do seu app lá dentro, confere a credencial da Anthropic e, com o seu ok, dispara o teste contra a URL do app rodando local ou em homologação.

São cinco fases: leitura do código e varredura do servidor (Nmap, Subfinder, WhatWeb), mapa do site num navegador automático, cinco agentes procurando falhas de injeção, XSS, SSRF, autenticação e autorização, e outros agentes executando os ataques pra provar. Ao todo, mais de 50 casos do OWASP Top 10.

No fim, o Claude lê o relatório e resume as falhas por gravidade, cada uma com um ataque que dá pra reproduzir. Pra site com login, monta um arquivo YAML com o fluxo de entrada e as rotas a evitar ou priorizar. Também acompanha o andamento, para e retoma testes pelo nome.

Nas palavras de quem fez

Autonomous AI pentester for web apps and APIs. Run white-box security assessments with Shannon — analyzes source code, identifies attack vectors, and executes…

unicodeveloper, no SKILL.md

Quando usar

Testar a segurança do seu SaaS antes de abrir pra clientes
Checar um app feito com IA antes de colocar no ar
Achar falha de login, permissão ou injeção no ambiente de homologação
Ter um relatório com prova de cada falha pra corrigir com o Claude

Depois de instalar, é só pedir assim

Roda o shannon no meu app em http://localhost:3000, o código está na pasta meu-saas
Testa só XSS e injeção no frontend de homologação
Lê o último relatório do Shannon e corrige no código as falhas críticas

Segurança

Gen Agent Trust Hub, Socket e Snyk leem o código da skill atrás de comando perigoso, dado vazando e instrução escondida. Alerta não é reprovação: quer dizer que vale ler o que a skill faz antes de instalar.

Gen Agent Trust HubAlerta
SocketPassou
SnykAlerta

Perguntas

Como instalar a Shannon no Claude Code?

Toca em Levar, aqui nesta página, e deixa seu nome, e-mail e WhatsApp (é uma vez só). Aparece uma frase pronta: cola ela no Claude Code, que ele mesmo instala a Shannon, e a skill passa a valer na próxima conversa. A mesma frase serve no Codex. Se preferir fazer na mão, o passo a passo está em como instalar skills no Claude Code.

O que a shannon precisa pra funcionar?

Docker, git e uma credencial de IA: chave da API da Anthropic (a recomendada), token OAuth do Claude Code, AWS Bedrock ou Google Vertex. Pela estimativa da própria skill, cada teste completo leva de 1 a 1,5 hora e custa perto de US$ 50 de API com o Claude Sonnet.

Dá pra rodar em qualquer site?

Não. O Shannon executa ataques de verdade, que podem alterar dados. A skill pergunta antes se você tem autorização por escrito, não aceita produção e só testa app seu ou autorizado, local, em homologação ou isolado. O relatório também precisa de revisão humana.

Roda no Codex e no Antigravity?

A skill foi escrita pro Claude Code (usa execução em segundo plano e as perguntas dele) e traz metadados pro OpenClaw. O Shannon em si é uma CLI em Docker, então os comandos rodam em qualquer terminal.

Levar essa skill

1x shannonR$ 0,00

TotalR$ 0,00

Levar precisa do JavaScript ligado. O código da skill está no GitHub: github.com/unicodeveloper/shannon

Aprenda a usar

Vibe coding: o que é e como usar pra fazer site
Vibe coding é programar pedindo em português pra IA, sem escrever código. Veja de onde veio o termo, como fazer no Claude Code e onde ele quebra.