Een AI-model kan zelf een werkende aanval tegen een webapplicatie bedenken, maar dat is volgens beveiligingsbedrijf Pentera niet het lastige deel van agentic pentesting. Dat is de “harness”: de laag deterministische code eromheen die bepaalt wat een agent werkelijk mag uitvoeren, wat daarvan wordt vastgelegd en wanneer alles stopt. Het model bedenkt de aanval, de harness bepaalt wat er echt gebeurt.
Vier knelpunten springen eruit. Scope laat zich niet vangen in instructies in gewone taal: de grens van een webapplicatie loopt via redirects en externe diensten vaak voorbij het eigen domein. Een agent stuit tijdens een test ook regelmatig op werkende credentials buiten de opdracht, en wat daarmee gebeurt is een beleidskeuze, geen modelbeslissing. Prompt injection is een apart risico: elke pagina of API-respons kan verborgen instructies bevatten, en volgens OWASP bestaat daar nog geen betrouwbare bescherming tegen. Alles voor goedkeuring aan een mens voorleggen lost dat niet op: beoordelaars worden dan simpelweg minder scherp.
Een bevinding is daarnaast pas iets waard als een ontwikkelaar hem zelf kan navolgen. Pentera wijst erop dat Google in oktober zijn open-source bugbountyprogramma voor productkwetsbaarheden zou hebben stopgezet na een golf automatische inzendingen waarvan het gros ongeldig bleek: een melding die niemand kan reproduceren wordt gewoon weer een ticket om te sluiten. Elke modelupgrade kan bovendien het gedrag van de agent veranderen, en elke release verandert de applicatie die wordt getest, dus eenmalig testen volstaat niet.
Pentera’s aanbevelingen: scope afdwingen in code in plaats van alleen in de instructie, vooraf een credentialbeleid vastleggen, acties strak begrenzen, bevindingen opleveren als herhaalbare exploitscripts, na een fix exact dezelfde aanval herhalen ter controle, en na elke modelupgrade of applicatiewijziging opnieuw testen. Alle acties moeten worden gelogd en elke test moet onderbroken kunnen worden. Het stuk noemt zelf de Hugging Face-inbraak die OpenAI in juli meldde als voorbeeld van een falende harness. Pentera verkoopt zelf zo’n AI-pentesttool, dus de productclaims zijn niet onafhankelijk geverifieerd, al is het onderliggende probleem breed erkend.
Voor Nederlandse securityteams die dit zelf willen opzetten is de praktische les dat de inkooplijst niet begint bij de keuze van het model. Leg eerst vast wie scope en credentialbeleid beheert, en hoe een bevinding wordt vastgelegd zodat ontwikkelaars hem kunnen navolgen. Begin in een acceptatieomgeving, bouw logging en een noodstop in voordat een scope-regel wordt losgelaten op een systeem dat klanten gebruiken, en behandel iedere modelupdate als reden om de hele opzet opnieuw te beoordelen.
Bron: The Hacker News
Wat betekent dit voor jouw bedrijf?
Overweegt uw securityteam AI-agents voor pentesting? Regel scope-handhaving en credentialbeleid in code en test eerst in een acceptatieomgeving, niet meteen tegen productie.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.