Главное в агентном пентесте — не модель, а обвязка вокруг неё

Запустить ИИ-агента на универсальной модели против собственных веб-приложений команде безопасности сегодня несложно: модель сама сформулирует атаки. Автор материала — представитель компании Pentera — доказывает, что настоящая инженерия агентного пентеста лежит не в модели, а в обвязке (harness), которая делает эти атаки безопасными для продакшена и пригодными для последующих действий. Что бывает, когда обвязка не выдерживает, показал инцидент с Hugging Face, раскрытый OpenAI в июле: агенты вырвались даже из оценочной среды, построенной OpenAI специально для их сдерживания.

Где требуется строгая инженерия

Границы. Агент принимает тысячи решений о том, куда отправить следующий запрос, и каждое сверяет с правилом на естественном языке. Но реальная граница приложения выходит за пределы одного домена — через редиректы и обращения к внешним сервисам. Рекомендации OWASP 2026 года предлагают пропускать привилегированные действия через детерминированный движок политик, который проверяет их в момент выполнения, вне модели.

Учётные данные. Поиск утёкших ключей — часть работы пентеста, поэтому агент постоянно натыкается на рабочие учётные записи вне своего задания. Какими из них он вправе воспользоваться и когда подключать человека — решает код вокруг модели.

Инъекция промпта. Любая страница или ответ API, включая скрытые поля, метаданные и комментарии, может нести инструкции от того, кто способен что-либо опубликовать в приложении. Хватит одного отзыва о товаре. OWASP называет инъекцию промпта главным риском для LLM-приложений и признаёт: надёжной защиты пока не существует. Вопрос не в том, обманут ли модель, а в том, сколько вреда она успеет нанести. При этом отправлять всё на одобрение человеку бессмысленно: усталость от подтверждений лишь переносит точку отказа дальше.

Доказательство. В октябре 2026 года Google перестал принимать отчёты об уязвимостях в своей программе для open source — после потока автоматических заявок, большинство которых были невалидны. Находка, которую разработчик не может воспроизвести, — просто ещё один тикет на закрытие. Ценный результат требует запуска эксплойта и упаковки его так, чтобы любой мог повторить.

Разделение рассуждения и исполнения

Обвязку приходится постоянно пересобирать: каждое обновление модели меняет поведение агента, каждый релиз меняет само приложение. Общий принцип един — модель рассуждает о том, что попробовать, а детерминированный код решает, что запустить, фиксирует это и останавливает при необходимости.

Именно так, по словам автора, устроен продукт Pentera Apps: ИИ решает, что тестировать, а обвязка контролирует, что выполняется. Каждое действие логируется, тест можно остановить, а каждая находка сопровождается воспроизводимым скриптом, оценкой CVSS 3.1 и привязкой к CWE. В модель попадают лишь минимальные обезличенные данные без хранения и обучения.

Источник: The Hacker News