Adaptar la seguridad ofensiva a la era de los agentes de IA

En Taktile hemos usado estas nuevas capacidades para hacer más seguro nuestro producto, desde la detección de vulnerabilidades de seguridad hasta su remediación. También hemos notado que cada vez más productos de seguridad basados antes en escáneres deterministas dan el salto a la IA y la aprovechan para evaluar el impacto y encontrar nuevas vulnerabilidades.

Sin embargo, algunos de estos productos corren el riesgo de sumarse al ruido existente. Los equipos de ingeniería ya están desbordados por la salida de múltiples escáneres de seguridad que generan cientos de tickets por semana, y algunas de estas herramientas añaden una capa no determinista sobre una tecnología muy antigua: los escáneres estáticos.

A mi juicio, este es el enfoque equivocado para aprovechar la IA.

Una prueba de penetración automatizada con IA puede convertirse rápidamente en un SAST más si no se le da orientación, y sin embargo la IA rinde al máximo justamente al reducir el ruido.

Con los laboratorios de frontera lanzando bucles orientados a objetivos, me di cuenta de que el verdadero valor estaba en tratar las evaluaciones de seguridad como un evento de Capture the Flag: pasar del escaneo de seguridad basado en SAST/DAST al pentesting.

Pentesting frente a escaneo de seguridad

Como analogía, podemos pensar en el escaneo SAST/DAST como pesca de arrastre y en el pentesting como pesca de curricán. Una usa una red amplia para capturar todo tipo de peces en una zona del océano, pero en el intento también causa daños involuntarios a la biosfera y sube basura a bordo.

La prueba de penetración busca la forma de atravesar su perímetro de seguridad, por cualquier medio necesario. Si no podemos exfiltrar información privada, mala suerte. Sin "hallazgos de hardening", sin "defensa en profundidad" y sin hallazgos hipotéticos. Solo necesitamos una ruta realista desde una amenaza externa, pasando por el compromiso de un sistema interno, hasta un impacto real, como el compromiso de información personal identificable (PII).

Con eso en mente, combinamos el poder de los bucles orientados a objetivos con el contexto del que disponemos en forma de código fuente y arquitectura.

Construir un hacker con IA

Adaptamos a nuestro agente de IA residente en Taktile, apodado "Claudius", y creamos una personalidad derivada llamada "Black Hoodie Claudius". Luego le dimos un objetivo de finalización simple:

" encontrar una única vulnerabilidad de seguridad de severidad alta. "

Para que el agente alcance ese objetivo, debemos darle una definición de "severidad alta": qué roles tienen privilegios bajos y altos, qué recursos son críticos, y acotamos el foco hacia vulnerabilidades entre tenants.

La parte fundamental de este enfoque es la cadencia: una sola vulnerabilidad.

Lo bueno de los agentes de IA en seguridad es que por fin pueden liberar a los ingenieros de seguridad y a los desarrolladores de evaluar el impacto de cientos de entradas de un SAST/DAST, al concentrar su esfuerzo en una sola vulnerabilidad. Elegimos ejecutarlo cada semana porque así los ingenieros de seguridad, los desarrolladores y las partes interesadas pueden asimilar esa vulnerabilidad y lanzar una corrección antes de que se encuentre la siguiente la semana siguiente.

En una era de fatiga causada por un flujo interminable de contenido de IA, barato de producir pero costoso de consumir, elegimos usar estas herramientas como generadores de señal pura.