.png){kind=logo}
In sintesi
- Sostituisce i frustranti test di penetrazione manuali con test basati sull'intelligenza artificiale sensibile al contesto
- Utilizza il white-box testing per convalidare API complesse basate su OData
- Genera centinaia di migliaia di richieste API valide per una copertura approfondita
- Migliora la fiducia nella sicurezza senza creare attriti con i fornitori
- Test delle scalabilità su diverse funzionalità, regioni e distribuzioni
Sfida
Per Balena, la sicurezza non si limita alla semplice conformità alle normative. Si tratta piuttosto di dimostrare che una piattaforma IoT altamente complessa sia sicura fin dalla progettazione. Balena offre soluzioni di gestione delle flotte IoT per dispositivi Linux embedded, consentendo ai clienti di implementare e gestire applicazioni su flotte che vanno da migliaia a centinaia di migliaia di dispositivi. Con la crescita della propria base clienti, sono aumentate anche le aspettative in materia di sicurezza.
L'azienda ha ottenuto la certificazione ISO 27001 nel 2024 e sta attualmente perseguendo la certificazione SOC 2 Tipo 2. Nell'ambito di questo percorso, i test di penetrazione sono diventati fondamentali.
Ma i test di penetrazione manuali hanno creato più ostacoli che chiarezza.
I risultati erano spesso difficili da interpretare e talvolta riflettevano un fraintendimento di fondo del funzionamento dei sistemi di Balena. Ad esempio, i pentester hanno segnalato come vulnerabilità l’uso della firma JWT simmetrica, nonostante si trattasse di una scelta progettuale deliberata e valida nell’ambito dell’architettura di Balena.
«Dopo ogni incarico di pentest manuale, la conclusione era sempre la stessa: la prossima volta dovremo cercare qualcun altro.»
Anziché rafforzare la fiducia, i test di penetrazione sono diventati una fonte ricorrente di frustrazione.
Perché Balena ha scelto il pentesting basato sull'intelligenza artificiale
Balena ha scoperto l'Aikido grazie alla ricerca nel campo della sicurezza e al contatto con la comunità, in particolare attraverso gli eventi OWASP e il lavoro costante nell'ecosistema Node.js. Allo stesso tempo, il team stava acquisendo maggiore dimestichezza con gli strumenti di sviluppo assistiti dall'intelligenza artificiale, il che ha reso l'idea di test di penetrazione basati sull'intelligenza artificiale un passo logico successivo.
All'inizio, la decisione di provare il pentesting basato sull'intelligenza artificiale è stata dettata da ragioni pragmatiche.
“Il test di penetrazione basato sull’intelligenza artificiale di Aikido era più conveniente rispetto ai test di penetrazione manuali. Ciò che ha colpito fin da subito è stata la capacità di fornire un contesto.”
Anziché affidarsi a tecniche di scansione generiche, Aikido ha potuto accedere al codice sorgente di Balena e avvalersi di conoscenze specifiche del settore. Ciò ha spostato l’attenzione dalla ricerca di un fornitore migliore alla comprensione di come utilizzare al meglio l’intelligenza artificiale per i test di sicurezza.
«La frustrazione ha portato all’automazione, e l’automazione ci ha condotti all’intelligenza artificiale... spezzando finalmente il circolo vizioso delle verifiche manuali limitanti.»
Esecuzione del test di penetrazione basato sull'intelligenza artificiale
Per iniziare è bastato un minimo sforzo. Balena ha collegato i propri repository, ha configurato l’ambito e ha avviato il test senza ritardi di natura legale o operativa.
«È stato piuttosto facile scaricare la versione di prova e cliccare su “Avvia”. Nessun ostacolo di rilievo.»
Il team ha adottato un approccio "white-box", consentendo all'IA di accedere al proprio codice e al proprio modello di dati. Fondamentalmente, ha istruito l'IA a seguire la specifica OData, che definisce il funzionamento della propria API.
Questo ha fatto una differenza significativa. I pentester precedenti avevano avuto difficoltà persino a costruire richieste OData valide. Al contrario, l’IA è stata in grado di interpretare le specifiche, leggere il modello di dati e generare query complesse e valide. Il risultato è stato un livello di approfondimento dei test sostanzialmente diverso.
Risultati del test di penetrazione basato sull'intelligenza artificiale
Il test di penetrazione basato sull'intelligenza artificiale ha generato oltre 450.000 richieste API durante il normale orario di lavoro, molte delle quali erano sintatticamente corrette e hanno restituito risposte valide.
Questo livello di precisione ha colpito fin da subito.
«Non abbiamo mai riscontrato un utilizzo così approfondito delle query OData da parte di nessun pentester umano.»
Anziché inviare payload di attacco irrilevanti o generici, l’IA si è concentrata su interazioni realistiche con il sistema. Ha inoltre individuato tempestivamente problemi significativi, anche durante una semplice prova di funzionamento.
Al di là delle dimensioni, l’IA ha dimostrato un livello di test sensibili al contesto che mancava nei progetti precedenti.
Durante il test di una nuova integrazione SAML, l'IA ha individuato il codice pertinente nei vari repository e ha generato circa 350 richieste mirate verso tali endpoint. Ha testato attivamente l'isolamento dei tenant e le autorizzazioni concatenando ID di oggetti, organizzazioni e utenti, verificando che gli utenti non potessero accedere a dati al di fuori del proprio ambito.
È importante sottolineare che il valore non era legato all’individuazione di una singola vulnerabilità critica. Derivava invece dalla fiducia nel processo di test stesso. L’IA ha dimostrato di comprendere il sistema e di essere in grado di esplorarlo in modi coerenti con il funzionamento effettivo dell’API.
Ciò ha eliminato una delle principali fonti di difficoltà che Balena incontrava nell'esecuzione dei test di penetrazione manuali.
«Ora la questione non è chi dovremmo assumere prossimamente, ma come utilizzare al meglio l’intelligenza artificiale e quale budget vogliamo stanziare».
Risultati
Per Balena, l’impatto dei test di penetrazione basati sull’intelligenza artificiale va inteso come un passaggio da test orientati alla conformità a una validazione precisa e consapevole del sistema.
Anziché dedicare tempo a correggere i malintesi dei tester esterni, il team può concentrarsi direttamente sul miglioramento della sicurezza. È possibile soddisfare i requisiti di audit senza l’onere interno di dover spiegare nuovamente l’architettura o di dover convalidare risultati errati.
Allo stesso tempo, la possibilità di avviare i test senza ritardi legali o operativi cambia il modo in cui la sicurezza si inserisce nello sviluppo del prodotto. Nuove funzionalità, come le integrazioni SAML o le nuove geolocalizzazioni, possono essere testate immediatamente, garantendo una verifica della sicurezza rapida e attendibile.
Anche la trasparenza risulta migliorata. Anziché basarsi su report statici, Balena è in grado di mostrare esattamente cosa è stato testato attraverso registri dettagliati delle richieste e tracce degli agenti.
ROI rispetto ai test di penetrazione manuali
Rispetto ai precedenti test di penetrazione manuali, quelli basati sull’intelligenza artificiale hanno fornito risultati di qualità superiore a un costo inferiore. La differenza principale è stata di natura operativa. I test di penetrazione manuali richiedevano cicli di onboarding con chiamate introduttive, briefing e configurazione degli accessi. Con l’intelligenza artificiale, tali costi aggiuntivi scompaiono del tutto.
Anche l'efficienza ingegneristica è migliorata. Anziché dover interpretare report PDF statici e riprodurre manualmente i risultati, gli ingegneri possono riutilizzare direttamente gli script generati dall'IA per verificare e risolvere i problemi.
Anche l'ampiezza della copertura è sostanzialmente diversa. Centinaia di migliaia di richieste, comprese complesse query OData, sono state eseguite durante il normale orario di lavoro. Un tale livello di portata e precisione non era mai stato raggiunto con i pentester umani.
“Grazie ai test whitebox basati sull’intelligenza artificiale, condividere i risultati non è mai stato così facile. Questa mappatura diretta a livello di codice consente ai nostri ingegneri di concentrarsi sull’analisi di logiche complesse e sull’implementazione di correzioni effettive, anziché discutere di falsi positivi.”
Prospettive future
Balena considera i test di penetrazione basati sull'intelligenza artificiale come una capacità che migliora con l'iterazione.
Attualmente, una parte significativa del budget destinato ai test viene impiegata per consentire all'intelligenza artificiale di apprendere il funzionamento del sistema prima di passare a percorsi di attacco più complessi. Nel corso del tempo, l'obiettivo è quello di ridurre questa fase di esplorazione, in modo da poter concentrare maggiormente gli sforzi sull'analisi degli aspetti di maggiore impatto.
Un’altra opportunità risiede nella reportistica. Sebbene i log e le tracce grezzi garantiscano piena trasparenza, il loro volume ne rende difficile l’analisi. Una sintesi concisa delle strategie di attacco, dei vettori che hanno avuto successo e dei vicoli ciechi renderebbe più facile comunicare i risultati e agire di conseguenza.
Guardando al futuro, Balena è particolarmente interessata a un modello in cui i test si basino sulle esecuzioni precedenti, consentendo all’IA di mantenere il contesto e continuare a esplorare il sistema anziché ripartire da zero.
Lavorare con l'Aikido
Al di là della tecnologia, è stata proprio la collaborazione a distinguersi.
“Risultati rapidi, comunicazione trasparente e nessuna promessa di vendita vuota. Ci hanno concesso il tempo necessario per completare la valutazione dei fornitori senza alcuna pressione. Ottenere risultati concreti in pochi giorni, oltre all’accesso diretto ai loro ingegneri per mettere a punto l’IA, è esattamente il tipo di collaborazione che desideriamo.”
