Einen KI-Pentester entwickeln: Was es braucht, um mit einem menschlichen Tester mitzuhalten

Dieses Video ist nur auf Englisch verfügbar

Rogier Fischer, CEO und Mitgründer von Hadrian, erklärt, was einen guten Pentest von einem Schwachstellenscan unterscheidet: Urteilsvermögen, Kreativität, Kontext, gesunder Menschenverstand und Ausdauer. Große Sprachmodelle bringen all das nicht von sich aus mit. Bittet man eines, eine Anwendung zu pentesten, führt es ein paar Prüfungen durch und erklärt die Arbeit für erledigt. Echte Ergebnisse erfordern ein Framework rund um das Modell.

Rogier zeigt, wie Hadrian dieses Framework aufbaut. Ein Planner-Agent, der auf den leistungsfähigsten Modellen läuft, macht aus Geschäftskontext und Reconnaissance Tausende von Hypothesen und übergibt sie an rund 25 Klassen spezialisierter Exploit-Agenten, oft Hunderte parallel. Jede Angriffsaktion durchläuft fest codierte und promptbasierte Leitplanken, die Hadrian „the leash“ nennt, und jedes Ergebnis durchläuft einen separaten Validierungsschritt und eine Prüfung durch einen Menschen. Das Ergebnis ist ein Pentest, der zwei bis drei Tage statt Wochen dauert, mit einer vollständigen Dokumentation dessen, was getestet und als sicher befunden wurde, und nicht nur dessen, was sich als angreifbar erwiesen hat.