Агент на пентесте сам решил перезапустить базу данных, потому что она ему мешала. Он рассчитывал, что сервис поднимется, результат не проверил и пошёл дальше. База не поднялась. Это был мой стенд и моя база, поэтому история закончилась смешно. Александр Кельчин, CTO и CISO Medici Lab, ронял агентами демостенды заказчиков, причём по договорённости.
Об этом и о том, где ИИ в пентесте реально помогает, мы проговорили почти час. Полная запись есть на YouTube, аудиоверсия — на подкаст-площадках. В статье я собрал практическую часть: что агенты умеют на боевой инфраструктуре, почему они лучше подтверждают уязвимости, чем находят, и как не положить заказчику прод. Цитаты Александра слегка отредактированы под письменную речь.
Автопентест старше LLM/агентского пентеста лет на двадцать
Автоматизированный пентест — старый класс продуктов. Для меня первым российским был XSpider. В мире к этому классу относили автоматизацию эксплуатации вокруг Metasploit, которая подбирала и отправляла полезные нагрузки. Сейчас это направление вендоры называют по-разному: непрерывный пентест (CPT), CTEM, управление уязвимостями. По сути это связка двух вещей. Первая — управление поверхностью атаки, то есть инвентаризация внешнего и внутреннего контура. Вторая — управление уязвимостями: просканировали периметр, сопоставили с базой уязвимостей, получили список того, что чинить.
Первая волна LLM добавила в эти продукты суммаризацию. Руководитель открывает дашборд и вместо графиков, которые всем надоели за двадцать лет, видит короткую выжимку о самых опасных уязвимостях на контуре и может задавать по ней вопросы. Агенты поменяли картину сильнее: у модели появились руки в виде вызова инструментов, а MCP-серверы для них начали появляться в большом количестве.
Где агент уже экономит дни
Первое — объёмы данных, которые человек читать не будет. Александр много работает с сетями, а в вебе, по его словам, разбирается «так себе». Однажды он начал скармливать агенту сетевой трафик целиком: ARP, DNS, SSL-сертификаты, чтобы модель проверяла, как подписываются и что отдают узлы.
Руками смотреть на одинаковые буковки и циферки ARP — это просто себя не уважать. Он мне дал понятно читаемый вывод.
Второе — связка агента с привычными инструментами. Когда MCP ещё не было, Александр писал свою обёртку вокруг Burp Suite и передавал агенту состояние через файлы. Сейчас у PortSwigger есть официальный MCP-сервер для Burp.
Ты открываешь Burp Suite, у него есть MCP, который отлично работает с твоим агентом, и понимаешь, что тебе не нужно больше это делать руками. Восхитительное ощущение.
У меня с Burp первая встреча с ИИ была хуже. Ранний Burp AI анализировал часть трафика и предлагал запросы, которые отправлять приходилось самому. Бесплатных кредитов хватило примерно на три часа работы. В скоупе на две тысячи хостов ассистент, который только советует, бесполезен. Агент через MCP закрыл эту разницу.
Третье — специализированные модели. OpenAI открыла проверенным защитникам доступ к моделям для кибербезопасности через программу Trusted Access for Cyber. Александр получил доступ через компанию и пробовал на них сигнатурный анализ кода. Свою обвязку вокруг такой модели он в итоге написал сам и говорит, что она нравится ему больше готовых: когда делаешь сам, понимаешь, что внутри.
Подтверждает хорошо, находит плохо
Александр начинал с открытых агентов Strix и PentAGI. В небольшом контексте на несколько тысяч токенов они неплохо понимали, что не так, но на боевой инфраструктуре работали плохо. Около трёх лет назад ему было быстрее и надёжнее смотреть руками.
Они отлично умеют понимать, уязвимость это или нет, но найти её с нуля оказались не очень эффективными. Под капотом у всех стандартная модель, которая не предназначена для поиска уязвимостей.
Хорошо это видно на XBOW. Летом 2025 года он вышел на первое место лидерборда HackerOne по итогам второго квартала и отправил около 1 060 отчётов. Компания пишет, что все находки были полностью автоматическими, но перед отправкой их просматривала команда безопасности, как требуют правила HackerOne для автоматизированных инструментов. Подтверждение в XBOW построено на «валидаторах». Иногда это LLM, иногда программная проверка. Для XSS, например, headless-браузер заходит на страницу и проверяет, что полезная нагрузка действительно выполнилась.
Александр покупал коммерческую версию. По его словам, это нормальный enterprise-продукт за несколько тысяч долларов, и этап ручной перепроверки виден в самом продукте. Первый пентест своей инфраструктуры этим инструментом произвёл на него сильное впечатление, особенно по сравнению с открытыми агентами годичной давности. Вывод при этом тот же, что и для AI SOC: проверку гипотезы ИИ автоматизирует хорошо, а поиск с нуля упирается в модель общего назначения.
У меня есть объяснение, почему с внутренним пентестом так. У разработчиков моделей нет данных: отчёты по внутренней инфраструктуре закрыты NDA, и пентестеры не отдают их в обучение. Без данных модель справляется хуже человека, и специалисты разумно продолжают работать руками. Чтобы стало лучше, кто-то должен этими данными поделиться, а это нарушение NDA.
«Нет, я ронял инфру»
«У тебя агент ронял инфру?» — спросил Александр. Я ответил честно: инфру клал я, а не агент. Если пентестер ни разу не ломал инфру, он ещё не дорос до сеньора.
С агентом у меня был один показательный случай. Он посчитал, что база данных ему мешает, и решил её перезапустить. По его расчёту сервис должен был подняться сам, но не поднялся, а агент этого не проверил и продолжил работу. Удалений не было ни разу: ни DROP DATABASE, ни rm -rf. Это было на моём стенде. У заказчиков я ограничиваю агента командами echo, cat, cp и pwd.
Александр работает иначе. Если заказчик говорит, что готов ко всему, он уточняет, действительно ли ко всему. Обычно речь о демостенде, потерю которого заказчик заранее принимает, и на таких стендах агенты у него инфраструктуру роняли.
Из этих двух историй получается простой набор правил:
-
Список разрешённых команд вместо списка запрещённых. Агент найдёт способ сделать опасное действие командой, которую вы не догадались запретить.
-
Деструктивное и перезапускающее — только с подтверждением человека. Мой случай показывает, что «перезапустить» для агента звучит безопасно, хотя может положить сервис.
-
Проверка результата после каждого изменяющего действия. Агент не знает, что сервис не поднялся, пока не проверит его явно.
-
Деструктивные проверки — на стенде, потерю которого заказчик принял письменно.
Агент сам по себе — новая поверхность атаки
Пентестерский агент читает чужой контент: ответы сервера, страницы, логи, баннеры. Любой из этих текстов может оказаться prompt injection, и агент с доступом к инструментам выполнит его в вашем контуре. Защиту модели изнутри, гардами и дообучением, Александр считает малоэффективной. В своём продукте для защиты LLM он строит защиту вокруг модели.
Направление задаёт работа CaMeL от Google DeepMind и ETH Zurich. Она развивает паттерн Dual LLM Simon Willison. Привилегированная модель строит план только по доверенному запросу, а недоверенные данные обрабатывает изолированная модель, которая не может менять ход программы. Политики проверяют каждый вызов инструмента. В AgentDojo CaMeL решил 77% задач с доказуемой защитой против 84% у системы без защиты.
Для закрытых моделей Александр видит один вариант: контейнер, в котором агенту обрезаны лишние вызовы. То, что продают под названием «LLM firewall», по сути должно быть DLP, а в идеале ещё и работать на уровне EDR. Для пентестерского агента это означает изолированный раннер, явный список разрешённых действий и контроль того, какие данные покидают стенд.
Сколько это стоит и что будет с ценой
По словам Александра, корпоративные лицензии на коммерческие автопентесты стоят тысячи долларов, а ручной пентест для формального соответствия у зарубежных заказчиков обходится в среднем в 15 тысяч долларов. На международном рынке он встретил платформу, которая предлагает аудит по подписке: заказчик сам проводит пентест на их платформе, их ИИ оценивает качество работы, и за 200 долларов выдаётся заключение. Нам с ним эта идея показалась странной: это лишний канал утечки сведений о ваших уязвимостях.
Про рынок у нас мы с Александром разошлись. Я считаю, что внешний пентест у нас уже стоит как пачка сухариков, а внутренний держится в цене только потому, что у моделей нет данных по внутренней инфраструктуре. Александр согласился про внешний и возразил про физический пентест, который стоит совсем других денег.
Мой прогноз осторожнее, чем заголовки про «ИИ-пентестер заменит людей». Агент уже снимает с пентестера рутину: трафик, повторяющиеся запросы, подтверждение типовых находок. Поиск нестандартных цепочек и ответственность за то, что агент сделал в чужой инфраструктуре, остаются за человеком.
А теперь вопрос к вам. Давали ли вы агенту доступ к боевому или стендовому контуру заказчика, и что он успел сломать? Какие ограничения вы ставите агенту, кроме списка разрешённых команд? Самые интересные случаи соберу во вторую часть.
Автор: srzybnev
