Autonomní penetrační testování

Při autonomním pentestu plán a provádění kroků testu obstarává systém AI. Na základě dosavadních zjištění rozhoduje, co zkoumat dál, spouští nástroje, kontroluje výsledky a sepisuje získané poznatky. Skener pokaždé provádí stejné kontroly; autonomní agent během testu svůj plán upravuje.

Jak PentAGI provádí test

Cíl a rozsah popíšete přirozeným jazykem: co posoudit, co je v rozsahu a co se považuje za dokončené. Od tohoto bodu běží flow samostatně:

1. Vaše zpráva se stane taskem a generator ji rozdělí na až 15 subtasks.
2. Pro každý subtask předá primary agent práci specialistům – searcher, pentester, coder nebo installer – kteří jednají prostřednictvím svých tools.
3. Nástroje běží v sandbox containeru daného flow, sestaveném z obrazu vybraného pro cíl, nikoli přímo uvnitř PentAGI; worker node je zcela odděluje od hostitele PentAGI.
4. Po každém subtasku refiner zkontroluje zbývající plán a podle výsledků jej upraví.
5. Po dokončení tasku reporter sepíše jeho výsledek a report flow shromáždí výsledky všech jeho tasks.

Příkazy, jejich výstupy a výsledky zůstávají v memory flow, takže pozdější subtasks navazují na ty dřívější; návody, odpovědi a kód, které agenti uloží, slouží i dalším flows.

Kde si zachováváte kontrolu

• Rozsah. Agenti se řídí taskem: zapište do něj cíle, hranice a případná pravidla engagementu. PentAGI sám cíle neomezuje, proto vynuťte pevnou hranici na síťové úrovni, například pomocí pravidel firewallu na worker node.
• Interaktivní režim. V režimu Assistant procházíte test krok za krokem s agentem, místo abyste nechali běžet automatizaci.
• Řízení. Zobrazení Assistant běžícího flow umožňuje zkontrolovat jeho stav, zastavit aktuální task, zaslat doplňující pokyny nebo změnit plánované subtasks – viz Steer a running flow.
• Dotazy. S ASK_USER=true může primary agent pozastavit flow a požádat vás o vstup. Ve výchozím nastavení je vypnuto.
• Limity. Limity tool calls a detekce opakování zastaví agenta, který se točí v kruhu, a reflector vrátí toho, který přestal volat nástroje – viz Safeguards.

Kdy se hodí

Autonomní testování se hodí pro opakovaná posouzení vlastních systémů, laboratorních a tréninkových cílů a pro první fázi engagementu: mapování attack surface, ověřování známých slabých míst a sepisování zjištěného. Nenahrazuje úsudek testera ohledně rozsahu, dopadu a rizika a dva běhy stejného tasku se mohou lišit, proto považujte jeho findings za podněty k ověření.