.png)
Perché l'accesso al codice garantisce un ROI più elevato nei test di penetrazione basati sull'intelligenza artificiale
Su oltre 1.000 test di penetrazione basati sull'intelligenza artificiale, gli interventi white-box hanno individuato 7 volte più vulnerabilità di livello elevato e critico, con un costo per agente pari alla metà rispetto a quello per ogni vulnerabilità individuata. I motivi per concedere l'accesso al codice non sono più solo teorici. Sono misurabili.
.png)
Shaun è il responsabile del marketing tecnico di prodotto presso Aikido Security, dove si occupa di tradurre prodotti di sicurezza complessi in storie che suscitano realmente l'interesse del mercato. Il suo percorso professionale spazia dal collaudo di software alla sicurezza informatica, e si fonda su una formazione scientifica e su un'esperienza lavorativa all'avanguardia nella ricerca nel campo delle scienze della Terra.
Risultati chiave
Efficienza in termini di costi. Gli interventi in modalità “whitebox” hanno richiesto 15 avviamenti di agenti per ogni vulnerabilità individuata, contro i 31 necessari in modalità “greybox”: una differenza di costo pari al doppio che si accumula nell’ambito dell’intero programma di sicurezza.
Profondità di analisi. Il whitebox testing ha individuato un numero di vulnerabilità gravi e critiche 7 volte superiore, tra cui controlli di accesso non funzionanti, difetti nella logica di autenticazione e problemi SSRF che non sono rilevabili senza il codice sorgente.
L’asimmetria di accesso. Per gli agenti di IA, l’acquisizione dell’intero codice richiede pochi secondi. Il sovraccarico che rendeva il whitebox un’attività che richiedeva un coinvolgimento umano di alto livello non sussiste più, rendendo l’accesso al codice l’elemento con il ROI più elevato in un test di penetrazione basato sull’IA.
Sintesi
Il greybox testing non riduce il rischio. Riduce la visibilità sul rischio.
Senza il codice sorgente, gli agenti di intelligenza artificiale sono limitati alla superficie di attacco esterna. Non sono in grado di analizzare la logica di autorizzazione interna, i flussi di autenticazione in più fasi o i problemi di integrità dei dati che non compaiono mai in una risposta HTTP.
Il presente rapporto si basa sui dati relativi a oltre 1.000 interazioni basate sull'intelligenza artificiale registrate sulla piattaforma Aikido. Il rapporto tratta i seguenti argomenti:
- Confronto tra le metriche whitebox e greybox in termini di risultati complessivi, gravità e costo
- Le tre classi di vulnerabilità in cui il divario è maggiore: controllo degli accessi compromesso (copertura 5 volte più approfondita), difetti nella logica di autenticazione (copertura 3 volte più approfondita) e SSRF e difetti nell'integrità dei dati (solo whitebox)
- In che modo il whitebox testing consente la correzione automatizzata, dall’individuazione del problema alla richiesta di pull, riducendo da settimane a poche ore il ciclo di correzione
Cosa imparerai
Quando optare per il whitebox, quando è più opportuno ricorrere al greybox e come prendere questa decisione in base ai tempi di accesso e alla criticità dell’applicazione, anziché per abitudine.
Shaun è il responsabile del marketing tecnico di prodotto presso Aikido Security, dove si occupa di tradurre prodotti di sicurezza complessi in storie che suscitano realmente l'interesse del mercato. Il suo percorso professionale spazia dal collaudo di software alla sicurezza informatica, e si fonda su una formazione scientifica e su un'esperienza lavorativa all'avanguardia nella ricerca nel campo delle scienze della Terra.