AI-тестування безпеки може знаходити вразливості поза чеклістами
Компанія Intruder у спонсорованому матеріалі порівняла можливості AI-агентів і фахівців із тестування на проникнення. Як повідомляє BleepingComputer, розробники стверджують, що штучний інтелект здатен виявляти складні вразливості, які могли залишитися непоміченими під час попередніх людських перевірок, однак поступається людям у комунікації, оцінюванні ризиків і розумінні бізнес-контексту.
У Intruder розповіли, що спершу тестували підхід із вузько визначеними ролями для AI-агентів, коли кожен з них шукав певний тип вразливостей. За оцінкою компанії, така модель призводила до пропусків проблем поза встановленим завданням або до помилкової класифікації знахідок. Водночас повністю вільні агенти також не забезпечували достатнього покриття великих застосунків.
Зрештою компанія обрала модель, у якій агенти мають ширші ролі для аналізу застосунку, але діють у межах суворих запобіжників, щоб не завдати шкоди. Intruder навела приклад складного обходу автентифікації, який, за її твердженням, залишався в кодовій базі після п’яти років пентестів, але був виявлений AI-агентами.
AI-пентестери Intruder працюють за моделлю white box, тобто отримують доступ до вихідного коду. Це дає змогу проаналізувати структуру застосунку, маршрути запитів і логіку його роботи з деталізацією, яка, як зазначає компанія, зазвичай недосяжна для людини в межах типового строку перевірки.
Водночас агенти не можуть уточнити незрозумілу функцію у представника замовника, погодити межі тестування або отримати дозвіл на потенційно ризиковану перевірку. Тому їх навмисно налаштовують обережно, аби не виходити за межі дозволеного тестування.
Компанія вказує, що результати AI-перевірок можуть відрізнятися між запусками, оскільки агенти самі визначають, які напрями досліджувати глибше. Подібна варіативність властива й людським пентестам: різні фахівці мають різний досвід, спеціалізації та набір знань.
За даними Intruder, AI-агенти добре справляються з рекомендаціями щодо усунення проблем, оскільки можуть вказати конкретний рядок коду та запропонувати зміну або тимчасові компенсувальні заходи. Водночас вони схильні завищувати рівень ризику, зокрема через брак розмов із замовником і обережність мовних моделей у питаннях кібербезпеки.
- Останні
- Популярні
Новини по днях
15 жовтня 2026
