Beveiligingsbedrijf Intruder zet in een artikel op BleepingComputer de sterke en zwakke punten van AI-pentesting tegenover die van menselijke pentesters. Waar een eerdere analyse op deze site van leverancier Picus zich toespitste op de blinde vlekken van agentic pentesten, zoals netwerkbereik en testkosten, kiest Intruder een bredere, algemenere vergelijking tussen beide aanpakken.
Volgens de auteur, die twaalf jaar ervaring heeft als pentester, leest een AI-agent de volledige codebase en begrijpt hij zo op detailniveau wat gevoelig is, zonder dat dit expliciet hoeft te worden uitgelegd. Dat leverde bij een klant een complexe authenticatiebypass op die vijf jaar lang onopgemerkt in de codebase zat en door menselijke testers nooit was gevonden. Ook bij remediëring is AI volgens Intruder sterk: het wijst de exacte coderegel aan en geeft meteen een concrete oplossing. Daar staat tegenover dat AI-agents zelf bepalen waar ze zoeken, waardoor resultaten per testrun kunnen verschillen, en dat risicoscores volgens de auteur vaak te hoog uitvallen omdat een taalmodel niet, zoals een mens, even kan navragen bij de klant.
Menselijke testers blijven volgens het artikel onmisbaar voor creatief speurwerk buiten de checklist, het inschatten van risico via een gesprek met de klant en het opmerken van vreemd gedrag dat verder onderzoek verdient. Hun belangrijkste beperking is tijd: een jaarlijkse pentest laat een applicatie de rest van het jaar feitelijk ongetest, en vermoeidheid tijdens een meerdaagse test kost grondigheid. Intruder noemt verder dat één menselijke pentest ongeveer evenveel kost als vier AI-gedreven tests, al blijft onduidelijk hoe die verhouding is berekend.
De conclusie van het stuk is dat AI en mensen geen concurrenten zijn maar elkaar aanvullen: AI leent zich voor frequente, diepgaande tests tussen de jaarlijkse menselijke pentest door, terwijl een ervaren tester nodig blijft voor context en creatief denken buiten de paden die een agent bewandelt.
Bron: BleepingComputer
Wat betekent dit voor jouw bedrijf?
Neem de cijfers in dit stuk, zoals de kostenverhouding van 1 op 4, als marketingclaim van een AI-pentestleverancier en vraag bij eigen leveranciers om onderbouwing. De onderliggende observatie is wel bruikbaar: zet AI-gedreven scans in tussen de jaarlijkse menselijke pentest door, in plaats van als vervanging ervan.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.