# AI agentとスキャナー

> PentAGIのような自律型agentがDASTや脆弱性スキャナーとどのように異なるか、また両者を組み合わせて使用する方法について説明します。

脆弱性スキャナーと AI [pentest](https://pentagi.com/ja/docs/glossary/#pentest) [agent](https://pentagi.com/ja/docs/glossary/#agent) はどちらも弱点を探しますが、その動作は異なります。DAST スキャナーは、実行中のアプリケーションに対して固定されたチェックセットを実行します。agent は目標からテストを計画し、これまでに発見した内容に基づいて次の各ステップを選択します。

|             | スキャナーの動作                  | AI agent の動作                                                                 |
| ----------- | ------------------------- | ---------------------------------------------------------------------------- |
| 次のステップの選択方法 | 固定されたチェックリストとクローラーに従う     | 計画に従い、各 [subtask](https://pentagi.com/ja/docs/glossary/#subtask) 後に計画を見直す                          |
| 到達可能な範囲     | クローラーが見つけたページとリクエスト       | [task](https://pentagi.com/ja/docs/glossary/#task) で指定されたすべて: ホスト、サービス、Web アプリケーション、API            |
| 使用するもの      | 独自のエンジン                   | [sandbox](https://pentagi.com/ja/docs/glossary/#sandbox) 内の 20 以上のセキュリティツール、Web 検索、agents が作成するコード |
| 報告内容        | 既知のパターンとの一致（それぞれトリアージが必要） | そこに至るまでの手順を含む結果を [report](https://pentagi.com/ja/docs/glossary/#report) にまとめて収集                    |
| 実行の再現性      | 同じチェックであれば同じ結果になる         | 同じ task の 2 回の実行でも結果が異なる可能性がある                                               |
| 所要時間とコスト    | 数分、モデルコストなし               | モデルトークンまたは GPU 時間を消費するより長い実行                                                 |

## [どちらを使用すべきか](https://pentagi.com/ja/docs/concepts/agents-and-scanners/#when-to-use-which)

* スキャナーは広範で再現性のあるカバレッジを提供します。CI で各リリース時またはスケジュール通りに実行し、既知の問題を早期に検出します。
* agent は深みを提供します。個別の弱点がシステムへの実際の経路につながるかを確認し、スキャナーがフラグ付けした事項を追跡し、クローラーが決して到達しないサービスをテストします。

この 2 つは相性が良いです。PentAGI は sandbox からスキャンツールを実行し、それらが報告した内容を調査できます。また、スキャナーの report を [flow](https://pentagi.com/ja/docs/glossary/#flow) にアップロードし、agents にその [findings](https://pentagi.com/ja/docs/glossary/#finding) を確認させることができます。

## [agent が必要とするもの](https://pentagi.com/ja/docs/concepts/agents-and-scanners/#what-an-agent-needs-from-you)

* target、goal、scope を task に記述すること — [Autonomous penetration testing](https://pentagi.com/ja/docs/concepts/autonomous-pentesting/#where-you-stay-in-control) を参照してください。
* 主要な agents 用の強力なモデル — [Choosing models](https://pentagi.com/ja/docs/configuration/llm-providers/#choosing-models) を参照してください。
* scope 内のすべての target をテストするための承認。