Costruire un pentester IA: cosa serve per eguagliare un tester umano
Questo video è disponibile solo in inglese
Rogier Fischer, CEO e cofondatore di Hadrian, spiega cosa distingue un buon pentest da una scansione delle vulnerabilità: giudizio, creatività, contesto, buon senso e perseveranza. I modelli linguistici di grandi dimensioni non possiedono tutte queste qualità da soli. Se si chiede a uno di loro di eseguire il pentest di un’applicazione, farà qualche controllo e dichiarerà il lavoro concluso. Per ottenere risultati reali serve costruire un framework attorno al modello.
Rogier illustra come Hadrian costruisce questo framework. Un agente pianificatore, basato sui modelli più avanzati, trasforma il contesto aziendale e la ricognizione in migliaia di ipotesi e le affida a circa 25 classi di agenti di exploit specializzati, spesso centinaia in parallelo. Ogni azione offensiva passa attraverso protezioni codificate e basate su prompt che Hadrian chiama «the leash», e ogni risultato viene sottoposto a una fase di convalida separata e alla revisione di una persona. Il risultato è un pentest che richiede due o tre giorni invece di settimane, con un registro completo di ciò che è stato testato e ritenuto sicuro, non solo di ciò che è risultato vulnerabile.
Cosa scoprirete in questo intervento:
- Perché i difetti nella logica di business, e non le vulnerabilità tecniche, costituiscono la maggior parte dei risultati di un pentest IA, e perché è proprio lì che l’IA fa la differenza.
- Come un agente pianificatore, agenti di exploit specializzati e «the leash» danno all’IA il buon senso di un tester umano, dal riutilizzo delle sessioni di login fino a non cliccare mai il grande pulsante rosso di eliminazione.
- Quali punti di forza umani i modelli possiedono già, quali richiedono ancora ingegnerizzazione e addestramento, e perché la sicurezza sta diventando un ciclo continuo ora che gli agenti IA possono agire essi stessi come attori delle minacce.