Pentesting agentic: controalele contează mai mult decât modelul

Acum e simplu să pui un agent AI să-ți atace propria aplicație web. Orice echipă poate îndrepta un model generalist spre un mediu de staging și îl poate urmări cum trimite cereri. Partea grea este tot ce se află în jurul modelului: controalele care decid ce are voie să atingă, ce are voie să facă și dacă rezultatele lui sunt de încredere. Industria a început să numească acest strat harness. Acolo reușește sau eșuează un pentest agentic.

Ce se întâmplă

Testarea ofensivă asistată de AI trece de la demonstrații la fluxuri de producție. Furnizori și echipe interne spun tot mai des public că modelul este partea ușoară, iar efortul de inginerie trebuie pus în codul determinist care îl înconjoară. Patru puncte de control apar constant.

1. Perimetrul (scope)

Un agent de testare ia mii de decizii despre unde trimite următoarea cerere. Dacă regulile angajamentului sunt impuse doar de o frază din prompt, perimetrul rămâne o simplă sugestie. Aplicațiile reale fac redirecționări între domenii și apelează servicii terțe, așa că agentul poate ieși din perimetru fără să „vrea”. Perimetrul trebuie impus prin cod care verifică fiecare cerere înainte să plece, în afara modelului. Ghidurile OWASP pentru sisteme agentice merg în aceeași direcție: acțiunile privilegiate trec printr-un motor de politici care le verifică în momentul execuției.

2. Credențiale

Un pentest scoate frecvent la iveală secrete expuse, așa că agentul va găsi credențiale valide care nu țineau de sarcina lui. Dacă are voie să le folosească, pentru ce și cu acordul cui este o decizie de politică. Sistemul din jur trebuie să o ia la fiecare încercare, nu modelul.

3. Prompt injection

Orice pagină, răspuns API, câmp ascuns sau comentariu pe care îl citește agentul este o intrare nesigură. O singură instrucțiune plantată poate fi suficientă ca să-l deturneze. OWASP clasează prompt injection drept principalul risc pentru aplicațiile LLM și precizează că astăzi nu există o metodă sigură de prevenire. Așa că întrebarea utilă nu este dacă agentul va fi păcălit, ci cât rău poate face atunci când se întâmplă. Asta depinde de cât de strict este limitată fiecare acțiune și de care acțiuni necesită verificări suplimentare sau aprobare umană. Nici trimiterea tuturor deciziilor la un om nu rezolvă problema: la scară mare, oboseala evaluatorului doar mută punctul slab.

4. Dovada

Constatările AI neverificate sunt deja o povară. Potrivit informațiilor apărute, Google a oprit luna aceasta acceptarea rapoartelor de vulnerabilități de produs în programul său de bug bounty open-source, după un val de trimiteri automate, majoritatea invalide. O constatare pe care dezvoltatorii nu o pot reproduce este doar încă un tichet. Un rezultat util are nevoie de dovezi: ce s-a atins, cum și o modalitate de a-l reproduce în siguranță, în aceleași limite.

De ce contează

Nimic din toate acestea nu se construiește o dată pentru totdeauna. Fiecare upgrade de model poate schimba comportamentul agentului, iar fiecare release schimbă aplicația testată. Echipele care adoptă sau cumpără testare agentică ar trebui să o judece după harness: impunerea perimetrului, politica pentru credențiale, limitarea impactului, gestionarea datelor (ce date ale clienților ajung la furnizorul de model și cât timp sunt păstrate) și calitatea dovezilor. Scorurile din benchmark-uri contează mai puțin.

Ce poți face

• Întreabă unde este impus perimetrul. Dacă răspunsul este „în prompt”, consideră-l neimpus. Caută liste de permisiuni verificate în afara modelului, la fiecare cerere.
• Stabilește din start politica pentru credențiale. Decide în scris dacă credențialele descoperite pot fi folosite și cere aprobare umană explicită înainte de orice pas autentificat.
• Pornește de la ideea că injecția se va produce. Limitează acțiunile pe care agentul le poate face singur, exclude operațiunile distructive și jurnalizează fiecare acțiune, astfel încât o rulare să poată fi pusă pe pauză, oprită și auditată.
• Cere dovezi reproductibile. Fiecare constatare trebuie să vină cu traseul cererii, o justificare a severității (de ex. CVSS) și o metodă sigură de retestare după remediere.
• Controlează fluxul de date. Știi ce iese din mediul tău, ce model vede datele și cât timp sunt păstrate.
• Păstrează omul acolo unde contează. Folosește oamenii pentru a aproba acțiunile riscante și pentru a valida constatările înainte să devină tichete, nu pentru a bifa fiecare cerere.

Așa lucrează echipa noastră de testare de penetrare cu asistență AI: automatizarea face munca de rutină, pașii activi rulează doar într-un perimetru verificat și cu aprobarea unui analist, iar fiecare constatare este revizuită de un om înainte să ajungă la tine. Modelul accelerează munca, iar controalele o fac sigură.

Sursă: această analiză are la bază un articol contribuit de Pentera, „The Harness Is the Hard Part of Agentic Pentesting”, publicat pe The Hacker News pe 21 octombrie 2026.