ai пентест

29 месяцев. Столько в среднем проходит от публикации CVE до момента, когда организация наконец-то накатит патч. Двадцать девять. За это время AI-платформа RedAmon, по неаудированным данным её разработчиков, решает 101 из 104 CTF-мишеней в чёрном ящике - без подсказок о стеке и уязвимостях...

Последние полтора года я собираю pipeline'ы на базе LLM-агентов для пентеста - LangChain-обёртка над Nmap, nuclei и gobuster с GPT-4 или Claude в роли "мозга". На CTF-полигонах агент сам раскручивает типовую SQL-инъекцию, переводит LFI в RCE, генерирует payload под конкретный стек - без моего...

Полноценный пентест Active Directory - пять хостов, четыре скомпрометированы, lateral movement пройден - за $28.50 в API-вызовах к LLM. Ручной пентест аналогичного скоупа обходится заказчику в $15000-$50000. Ежегодный пентест раз в год против такого темпа - статистическая формальность. Ниже...

За последний год я перестроил свой рабочий пайплайн так, что LLM-агенты участвуют минимум в трёх этапах каждого проекта. Не потому что хайп - а потому что на внешнем пентесте банковского приложения Claude за 4 минуты корректно выстроил приоритизацию 187 находок Nuclei, на которую раньше уходило...

Начну интересно, с неудобной правды. Полтора года я интегрирую LLM-агенты в свой рабочий процесс - от разведки до написания PoC. И картина, которую вижу, кардинально отличается от маркетинговых обещаний. GPT-4 действительно умеет вещи, которые ещё два года назад казались фантастикой. Но он же...

Ты когда-нибудь задумывался, как объективно сравнить двух пентестеров? Один находит пять критических уязвимостей за день, другой - три, но какие из них действительно опасны? А если речь идёт об AI-агентах, которые плодятся как грибы после дождя? Без объективных метрик, воспроизводимых сред и...