Агент на пентесте сам решил перезапустить базу данных, потому что она ему мешала. Он рассчитывал, что сервис поднимется, результат не проверил и пошёл дальше. База не поднялась. Это был мой стенд и моя база, поэтому история закончилась смешно. Александр Кельчин, CTO и CISO Medici Lab, ронял агентами демостенды заказчиков, причём по договорённости.
Об этом и о том, где ИИ в пентесте реально помогает, мы проговорили почти час. Полная запись есть на YouTube, аудиоверсия — на подкаст-площадках. В статье я собрал практическую часть: что агенты умеют на боевой инфраструктуре, почему они лучше подтверждают уязвимости, чем находят, и как не положить заказчику прод. Цитаты Александра слегка отредактированы под письменную речь.
Автопентест старше LLM/агентского пентеста лет на двадцать
Автоматизированный пентест — старый класс продуктов. Для меня первым российским был XSpider. В мире к этому классу относили автоматизацию эксплуатации вокруг Metasploit, которая подбирала и отправляла полезные нагрузки. Сейчас это направление вендоры называют по-разному: непрерывный пентест (CPT), CTEM, управление уязвимостями. По сути это связка двух вещей. Первая — управление поверхностью атаки, то есть инвентаризация внешнего и внутреннего контура. Вторая — управление уязвимостями: просканировали периметр, сопоставили с базой уязвимостей, получили список того, что чинить.
