testei o Shannon (Pentester de SaaS) na Sunna, e aqui vai o que achei pro contexto: o Shannon é uma AI pentester open source que usa o Claude sonnet 4.5 por baixo dos panos. você aponta pro seu código + app rodando e ele passa ~1 hora caçando vulnerabilidades reais no seu projeto. white-box, então ele lê tudo: front, back, banco, configs setup: WSL2 (uso windows), Docker, Claude Code, um YAML de config com as rotas de login e credenciais de teste. conecta com sua conta do Claude Max (ou API key) e manda rodar -> foi bom pq dei uso para aqueles 275 reais que a Anthropic deu de graça :D na prática não foi tão liso assim. o token de output do Claude estourava no meio do relatório porque o SDK não recebia a variável de ambiente corretamente. tive que abrir o source do Shannon e injetar o parâmetro na mão. chatinho no começo, mas fácil de resolver também bateu rate limit do Claude algumas vezes e ficou dando retry. no total entre setup, correções e execução foram umas 2-3 horas resultado: ele mapeou 63 endpoints, analisou os fluxos, traçou data flows e trouxe uma lista de vulnerabilidades com severidade, arquivo exato, linha do código e até PoC de exploração sendo honesto: foi uma experiência bem legal, mas ele não achou taantas novidades assim. tem algumas coisas que a gente sabe que não é urgente e procrastina, mas agora vou dar uma priorizada nisso. Mas ainda sim ele trouxe umas novidades, que tinha deixado passar, então o resultado final foi positivo. veredito: ele pega bem uns 80% dos problemas clássicos. pra quem tá vibecodando e nunca parou pra pensar em segurança, é um tapa na cara que é bom de levar pra não aparecer no vídeo do @YuriRDev