8 сентября 2026 г.
Проверка приложения на дыры стоит $6: Shannon нашёл ту же критическую SQL-инъекцию, что платные сканеры
Ту же критическую дыру Photoview, за поиск которой платформы берут $4 000 за скан, открытый Shannon нашёл, потратив $6,10 на токены.
🚨 AI News | TestingCatalog
@testingcatalog
Keygraph протестировала свою новую модель Shannon 3.0 на Photoview 2.4.0, той же сборке, на которой Doyensec тестировала Aikido и XBOW. В тестах все три конфигурации моделей поймали критическую pre-auth SQL-инъекцию, которую Photoview потом закрыл. По их тестам DeepSeek v4 Flash обошёлся в $6,10 токенов, Grok 4.6 в $35,07, Opus 5 в $115: он нашёл шесть из семи проблем, исправленных в том раунде. Doyensec сообщала о $4 000 за скан у каждой коммерческой платформы.
· 1,4 тыс. просмотров
Одну и ту же дыру в Photoview искали трижды. Ценник разошёлся в 650 раз.
В июле Doyensec прогнала по открытому приложению Photoview две коммерческие платформы поиска уязвимостей: Aikido дал 32 подтверждённые находки, XBOW — 7. Скан у каждой стоил $4 000. Keygraph взяла ту же сборку Photoview 2.4.0 и запустила на ней свой Shannon 3.0 в трёх конфигурациях моделей.
Все три поймали критическую pre-auth SQL-инъекцию: в базу можно было лезть, не заходя в аккаунт. Photoview её потом закрыл. Разошёлся только счёт за токены:
- **DeepSeek v4 Flash**: 18 находок за $6,10 - **Grok 4.6**: 10 находок за $35,07 - **Opus 5**: 24 находки за $115, одна из них пустая; этот прогон закрыл 6 из 7 проблем, исправленных в том раунде
Чьи руки. Keygraph мерила собственный инструмент сама. Замер Doyensec на тех же приложениях делали по заказу Aikido, там каждую находку вручную проверял старший исследователь.
Раньше и теперь. Проверка приложения на дыры была покупкой: подрядчик или платформа со скана за $4 000. Теперь Shannon запускается на своём ключе провайдера.
Ставить и клонировать репозиторий не нужно. Мастер настройки поднимается командой `npx @keygraph/shannon@latest setup`, скан идёт через `npx @keygraph/shannon@latest start -u https://ваш-сайт -r /путь/к/репозиторию`. Из своего понадобится Docker, Node.js 18+ и ключ провайдера: Anthropic, OpenAI, xAI, AWS Bedrock, либо локальная модель через Ollama, vLLM или LM Studio.
Полный скан занимает час-полтора, сумма зависит от цен выбранной модели и сложности приложения. В отчёт попадает только то, что Shannon воспроизвёл эксплойтом: принцип авторов звучит как «No exploit, no report».
Цифры пока есть по одному приложению: сторонние прогоны Shannon на других кодовых базах ещё впереди.
* Meta Platforms Inc. признана в РФ экстремистской организацией, её деятельность запрещена; Facebook и Instagram заблокированы. Meta AI и другие продукты компании — продукты этой организации.
Первоисточник
