Il pentesting AI è buono come un pentester umano?

Con l’aumento del pentesting dell’IA, molte persone si chiedono se sia buono come un essere umano. Avendo iniziato come pentester dodici anni fa e avendo ricoperto ruoli simili al lavoro sul pentester AI di Intruder, sono arrivato a comprendere i vantaggi e gli svantaggi di entrambi. Ecco come si confrontano. La metodologia rigorosa non è mai stata la parte migliore Ci si può aspettare che i pentest di IA seguano metodologie rigorose come fanno molti pentest umani

. In Intruder, abbiamo sperimentato questo approccio all’inizio: sistemi strutturati in cui ogni agente aveva uno specifico tipo di vulnerabilità da cercare. Quello che abbiamo scoperto è che gli agenti perderebbero del tutto le cose al di fuori del loro mandato, o classificherebbero erroneamente ciò che hanno trovato come l’unica cosa che gli era stato detto di cercare, causando rapporti confusi

. Anche una completa mancanza di struttura non è riuscita a produrre buoni risultati, poiché gli agenti completamente liberi senza alcuna guida non potevano scomporre e gestire correttamente le applicazioni di grandi dimensioni. Potrebbero trovare cose interessanti, ma a costo di perdere un sacco di altre vulnerabilità nei nostri obiettivi

. Abbiamo fatto molti test per trovare l’equilibrio tra questi approcci e abbiamo deciso di dare agli agenti la libertà con ruoli ampiamente definiti per aiutarli ad avvicinarsi e gestire applicazioni di grandi dimensioni e parapetti più severi per impedire che causino danni. Ciò significa che il nostro pentester AI non spunta le parti di un documento di metodologia che in genere vedresti in un pentest umano

. Ciò potrebbe mettere a disagio alcune persone: una metodologia rigorosa offre alle persone la certezza che qualcuno abbia esaminato la tua domanda e testato tutto l’elenco. È necessario trovare un’iniezione SQL non autenticata e una lista di controllo è lì per assicurarsi che lo faccia. La metodologia dà a molte persone l’idea che un pentest umano sia un prodotto perfettamente ripetibile, poiché qualsiasi tester sarà in grado di seguire la metodologia e tutto ciò che è importante verrà trovato

. La realtà è molto più sfumata di così, tuttavia, poiché il pentesting è un lavoro qualificato e molte delle scoperte di maggior impatto su un pentest verranno dall’esperienza del tester nel notare comportamenti strani e nel seguirli. Per il nostro pentester AI, abbiamo ottenuto risultati molto più interessanti e di impatto non cercando di guidare i nostri agenti attraverso specifici tipi di vulnerabilità

. Un buon esempio è un bypass di autenticazione complesso gli agenti trovati che erano stati seduti in una base di codice attraverso cinque anni di pentest senza che nessun tester umano lo raccogliesse. La meccanica di questo problema significa che non penseresti mai di scrivere una guida ai test che potrebbe essere seguita rigorosamente per identificarla, e se avessimo cercato di limitare troppo il nostro pentimetro AI non l’avrebbe mai trovato

. Si potrebbe dire che trovare solo le cose comuni sarebbe comunque abbastanza buono, ma c'è una tale serie di vulnerabilità che non sono comuni che si trovano durante un pentest. E solo perché non sono comuni, non significa che un utente malintenzionato non possa trovarli, soprattutto ora che l’intelligenza artificiale viene utilizzata per consentire più attacchi

. Una metodologia rigorosa eseguita da un tester competente ha fornito solo una bassa base di affidabilità, e non lo ha nemmeno fatto perfettamente. Ciò che rende un bene pentest è la parte che un tester esperto fa al di fuori della lista di controllo, ed è qui che l’IA prospera — seguendo il suo naso attraverso la tua applicazione e trovando le cose che non avrebbero mai fatto una lista. Pentest ad ogni major release. Sicurezza al passo con l’ingegneria

. Gli agenti di pentesting AI di Intruder offrono la profondità di un impegno manuale on-demand: nessun lead time, nessuna chiamata di scoping, una frazione del costo. Esegui il test con ogni versione, chiudi la finestra di esposizione e ottieni un rapporto pronto per l’audit in poche ore.