Pentera: безопасность агентного пентеста определяет контур контроля
Компания Pentera представила подход к агентному тестированию веб-приложений Pentera Apps, в котором ИИ-модель выбирает направления проверки, а детерминированный программный контур управляет исполнением. Компания заявляет, что каждое действие журналируется, тест можно приостановить или остановить, а результаты включают воспроизводимый скрипт эксплуатации, оценку CVSS 3.1 и сопоставление с CWE.
Модель не должна напрямую выполнять атаки
В Pentera разделяют рассуждение и исполнение. Модель предлагает, что проверить, но не отправляет запросы в приложение напрямую. Контур вокруг неё контролирует, какие действия действительно будут выполнены, фиксирует их и при необходимости блокирует.
Такая архитектура важна уже на этапе определения границ проверки. Агент принимает множество решений о следующем запросе, тогда как фактическая граница веб-приложения может выходить за один домен из-за перенаправлений и обращений к внешним сервисам. Для соблюдения области теста требуется проверять каждый запрос до его отправки.
В рекомендациях OWASP 2026 года привилегированные действия предлагается проводить через детерминированный механизм политик, который проверяет их в момент исполнения и находится вне модели. Тот же принцип относится к найденным учётным данным: агент может встретить рабочие ключи, не входящие в задание, а правила их использования и условия эскалации должны применяться программным кодом при каждой попытке.
Prompt injection остаётся ограничением для агентов
Агент анализирует не только видимый текст страниц, но и поля, метаданные, комментарии и ответы API. Поэтому инструкции злоумышленника могут оказаться даже в пользовательском отзыве. OWASP называет prompt injection главным риском для приложений на базе LLM и отмечает, что надёжного способа предотвращения этой атаки пока нет.
В этих условиях задача состоит не в предположении, что модель никогда не будет введена в заблуждение, а в ограничении последствий. Для этого нужны жёсткие рамки действий, дополнительная проверка чувствительных операций и участие человека там, где оно оправдано. При этом OWASP предупреждает, что массовая отправка решений на ручное согласование приводит к усталости проверяющих и снижает качество контроля.
Результат должен быть воспроизводимым
Автоматизация не делает отчёт о найденной уязвимости полезным сама по себе. В октябре 2026 года Google прекратила принимать сообщения в открытую программу вознаграждений за уязвимости для проектов с открытым исходным кодом после роста автоматизированных заявок; большинство из них компания назвала невалидными.
По версии Pentera, пригодная для разработчиков находка должна содержать сценарий эксплуатации, зафиксированный результат и возможность повторить проверку после исправления. В Pentera Apps для этого формируется воспроизводимый скрипт, добавляются CVSS 3.1 и CWE, а после внедрения исправления ту же атаку можно запустить повторно.
Компания также заявляет, что в модель передаются только минимально необходимые обезличенные данные, они не сохраняются и не используются для обучения, а данные остаются в регионе заказчика. Проверки могут запускаться по запросу или расписанию; Pentera планирует добавить тестирование, запускаемое изменениями в CI/CD.
Что это означает для команд разработки и ИБ
При выборе агентного пентеста бизнесу важно оценивать не только возможности модели, но и правила исполнения: контроль области проверки, обращение с учётными данными, журналирование, остановку тестов и качество доказательств. Практическую ценность создаёт возможность разработчика воспроизвести атаку, устранить проблему и подтвердить, что тот же путь после исправления закрыт.