概念
AI agentとスキャナー
PentAGIのような自律型agentがDASTや脆弱性スキャナーとどのように異なるか、また両者を組み合わせて使用する方法について説明します。
脆弱性スキャナーと AI pentestpentest — ペネトレーションテストシステムの弱点を発見するために行われる、許可された侵入試行です。 agentagent — エージェントPentAGI の AI エージェント: 独自のプロンプト、設定、ツールを持ち、フロー内でテスト、コード作成、ウェブ検索など特定の種類の作業を行うモデルです。 はどちらも弱点を探しますが、その動作は異なります。DAST スキャナーは、実行中のアプリケーションに対して固定されたチェックセットを実行します。agent は目標からテストを計画し、これまでに発見した内容に基づいて次の各ステップを選択します。
| スキャナーの動作 | AI agent の動作 | |
|---|---|---|
| 次のステップの選択方法 | 固定されたチェックリストとクローラーに従う | 計画に従い、各 subtasksubtask — サブタスクタスクの1つのステップ。PentAGIは各タスクのサブタスクを計画し、作業の進行に合わせて調整します。 後に計画を見直す |
| 到達可能な範囲 | クローラーが見つけたページとリクエスト | tasktask — タスクフロー内の1つのリクエスト：最初のメッセージ、またはエージェントの質問への回答ではない後続のメッセージ。PentAGI は各タスクをサブタスクに分割します。 で指定されたすべて: ホスト、サービス、Web アプリケーション、API |
| 使用するもの | 独自のエンジン | sandboxsandbox — サンドボックスエージェントがツールを実行するための隔離された Docker コンテナです。インターフェースでは Terminal として表示されます。 内の 20 以上のセキュリティツール、Web 検索、agents が作成するコード |
| 報告内容 | 既知のパターンとの一致（それぞれトリアージが必要） | そこに至るまでの手順を含む結果を reportreport — レポートPentAGI がフローとその発見事項について作成するドキュメントです。Enterprise では、テンプレートから構築された顧客向けドキュメントとなります。 にまとめて収集 |
| 実行の再現性 | 同じチェックであれば同じ結果になる | 同じ task の 2 回の実行でも結果が異なる可能性がある |
| 所要時間とコスト | 数分、モデルコストなし | モデルトークンまたは GPU 時間を消費するより長い実行 |
どちらを使用すべきか
- スキャナーは広範で再現性のあるカバレッジを提供します。CI で各リリース時またはスケジュール通りに実行し、既知の問題を早期に検出します。
- agent は深みを提供します。個別の弱点がシステムへの実際の経路につながるかを確認し、スキャナーがフラグ付けした事項を追跡し、クローラーが決して到達しないサービスをテストします。
この 2 つは相性が良いです。PentAGI は sandbox からスキャンツールを実行し、それらが報告した内容を調査できます。また、スキャナーの report を flowflow — フローPentAGI の1回のフロー：目標、メッセージから作成されたタスク、およびエージェントが実行したすべての作業。 にアップロードし、agents にその findingsfinding — 発見事項テストによって発見・記録された事項（ホスト、稼働中のサービス、脆弱性など）です。 を確認させることができます。
agent が必要とするもの
- target、goal、scope を task に記述すること — Autonomous penetration testing を参照してください。
- 主要な agents 用の強力なモデル — Choosing models を参照してください。
- scope 内のすべての target をテストするための承認。
最終更新日