Aktios ha transformat la seva manera de fer pentesting amb IA
Un pentest deixa de ser una fotografia d’un dia a l’any. Hem convertit cada pas de les nostres auditories en un mètode assistit per IA que es pot repetir quan realment cal: en cada llançament d’una nova versió, davant d’una nova normativa o quan apareix una amenaça al teu sector.
Les amenaces i els sistemes canvien cada setmana. Una anàlisi puntual, per bona que sigui, envelleix ràpidament: cobreix l’estat d’un dia i deixa a les fosques tot el que ve després. Per això vam voler fer un pas més i repensar com treballem.
Vam agafar l’experiència de l’equip i la vam convertir en un mètode: sistematitzar cada petit pas perquè l’auditoria segueixi sempre el mateix camí i es pugui repetir amb la freqüència que calgui. Per fer-ho possible, vam desenvolupar un motor propi, aktios/autonomous_pentest, el primer d’una família d’eines internes. El valor rau en allò que aquest mètode permet fer.
Un mètode, sempre el mateix
El procés segueix un únic bucle, inspirat en el model OODA (Observar, Orientar, Decidir i Actuar): observa el sistema, l’orienta amb el marc MITRE ATT&CK, decideix el pas següent i actua; després torna a començar amb allò que ha après. Cobreix xarxa, web i núvol en un mateix flux. Es treballa pas a pas i, si després de 3 intents no s’avança, la decisió passa a una persona de l’equip.
Només allò que es pot demostrar
Cada troballa passa per 4 estats (hipòtesi, parcial, confirmada o descartada) i només s’inclou a l’informe com a vulnerabilitat quan està confirmada, classificada amb CVSS 3.1, CWE i MITRE ATT&CK. Confirmada significa que hi ha una prova al costat: l’ordre exacta executada i la seva sortida literal, perquè l’equip del client la pugui reproduir i verificar posteriorment la correcció. Si no es pot reproduir, no compta.
Pentest continu, quan el necessitis
Amb el procés sistematitzat, el pentest s’adapta al ritme de cada client. S’executa amb cada nova versió, davant d’un canvi normatiu o quan sorgeix una nova amenaça al seu sector, sense haver d’esperar a la revisió anual. I, com que sempre es fa de la mateixa manera, dues auditories es poden comparar entre si i permeten mesurar què ha canviat d’una a l’altra.
Les persones sempre tenen l’última paraula
La intel·ligència artificial accelera la feina, però no mana. L’abast, l’autorització i les prioritats els decideix sempre l’equip; es prioritza segons l’impacte en el negoci del client i tot s’executa en un entorn aïllat. El criteri, la responsabilitat i la relació amb el client són la part humana.
Aquesta manera de treballar dona al client una cosa que abans costava d’aconseguir: una prova que el seu propi equip pot verificar, auditories comparables al llarg del temps i un nivell d’exigència que no depèn de qui tingui l’encàrrec aquella setmana. És la manera com, a Aktios, estem utilitzant la IA per innovar en ciberseguretat.