Команде Application Security достаточно направить ИИ-агента на собственные веб-приложения: модель сама предложит атаки и будет выбирать, что проверять дальше. Но способность придумывать тесты ещё не делает их безопасными и полезными. Это зависит от «обвязки» вокруг модели — программных ограничений, журналирования и процедур проверки. Именно в ней сосредоточена значительная часть инженерной работы над агентным пентестом.
В июле OpenAI сообщила о вторжении, затронувшем Hugging Face. Этот случай показал, чем может обернуться сбой такой системы: проблема возникла даже в рамках оценки OpenAI, где действия агентов пытались ограничить. Поэтому контролировать нужно не только ответы модели, но и каждый запрос, который она собирается отправить.
Первое испытание для обвязки — границы разрешённой проверки. Агент может принять тысячи решений о следующем запросе, а правило, по которому он ориентируется, нередко сформулировано обычным языком. Между тем веб-приложение не всегда заканчивается на одном домене: запросы перенаправляются, а страницы обращаются к внешним сервисам. Чтобы удержать тест в заданных пределах, код должен проверять каждый запрос до его отправки. Руководство OWASP на 2026 год предлагает пропускать привилегированные действия через детерминированный механизм политик, который принимает решение во время выполнения, вне модели.
Другая проблема — учётные данные. Поиск раскрытых ключей входит в задачи пентеста, поэтому агент способен обнаружить работающий секрет за пределами своего задания. Одного запрета в инструкции недостаточно: код обвязки должен проверять каждую попытку использования ключа, определять, какие действия с ним разрешены, и устанавливать, когда нужно подключить человека.
Источником инструкций для модели может стать и само приложение. Вредоносный текст можно спрятать в поле формы, метаданных или комментарии, невидимые обычному пользователю. Его способен разместить любой человек, которому доступна публикация; иногда хватит одного отзыва о продукте. OWASP называет prompt injection главной угрозой для приложений на основе больших языковых моделей и отмечает, что надёжного способа предотвратить её пока нет. Практический вопрос поэтому не в том, обманут ли модель, а в том, какой ущерб она сможет причинить. Риск зависит от того, насколько жёстко ограничены действия и какие из них требуют дополнительной проверки и согласования.
Передача каждого решения человеку тоже не гарантирует безопасности. OWASP предупреждает об усталости от одобрений: при большом потоке запросов качество проверки падает. Если отправлять на согласование всё подряд, слабым местом станет уже сам процесс рассмотрения, а не модель.
Нужны и доказательства, которые разработчик сможет проверить. В октябре 2026 года Google перестала принимать сообщения об уязвимостях продуктов в своей открытой программе bug bounty после резкого роста автоматических заявок. Компания сообщила, что большинство из них были недействительными. Если разработчик не может воспроизвести находку, она рискует превратиться в очередную задачу, которую просто закроют. Полезный отчёт должен содержать выполненный эксплойт, подтверждение того, куда он добрался, и материалы для повторного запуска — при этом тест обязан оставаться в установленных границах.
Обвязка требует постоянного обслуживания. Новая версия модели может изменить поведение агента, а обновление приложения — открыть или закрыть проверяемый путь. В рабочей среде нужны тестирование после изменений, маршрутизация находок ответственным за соответствующий код разработчикам и строгий контроль над тем, какие клиентские данные получает поставщик модели. Результаты тестирования также следует связывать с остальной инфраструктурой. Рабочее разделение простое: модель решает, что попробовать; детерминированный код определяет, что будет выполнено, записывает действия и при необходимости останавливает их.
Pentera Apps строится по этой схеме: ИИ выбирает, что проверять, а детерминированная обвязка управляет выполнением. Модель не отправляет запросы в приложение напрямую. Каждое действие журналируется, а тест можно приостановить или остановить в любой момент. Pentera связывает этот подход с дисциплиной безопасного тестирования в производственной среде, которую применяет почти десять лет для тысяч клиентов по всему миру.
Каждая находка в Pentera Apps сопровождается повторно запускаемым скриптом эксплойта, оценкой по CVSS 3.1 и сопоставлением с CWE. Разработчик может проверить атаку самостоятельно, а после исправления запустить тот же сценарий ещё раз и убедиться, что уязвимый путь закрыт. Тестирование доступно по запросу и по расписанию; запуск проверок при изменениях в CI/CD заявлен как следующий этап, призванный встроить подтверждение исправлений в цикл разработки.
Для анализа в языковую модель передаются только минимальные объёмы данных после редактирования чувствительной информации. Pentera Apps заявляет нулевое хранение данных, отказ от обучения на данных клиентов и размещение данных в регионе заказчика. Перед каждым тестом система учитывает результаты разведки по поверхности атак клиента, находки его средств защиты и актуальные сигналы об угрозах. Это позволяет проследить путь эксплойта из веб-приложения в сетевую инфраструктуру, облако и систему идентификации на одной платформе.
В Pentera Apps обвязка уже встроена: командам безопасности не нужно разрабатывать её самостоятельно, чтобы получать проверяемые результаты. Ранний доступ к продукту Pentera Apps, Agentic Web App Pentesting, могут запросить команды, которым нужна такая схема агентного тестирования.
Изображение носит иллюстративный характер
В июле OpenAI сообщила о вторжении, затронувшем Hugging Face. Этот случай показал, чем может обернуться сбой такой системы: проблема возникла даже в рамках оценки OpenAI, где действия агентов пытались ограничить. Поэтому контролировать нужно не только ответы модели, но и каждый запрос, который она собирается отправить.
Первое испытание для обвязки — границы разрешённой проверки. Агент может принять тысячи решений о следующем запросе, а правило, по которому он ориентируется, нередко сформулировано обычным языком. Между тем веб-приложение не всегда заканчивается на одном домене: запросы перенаправляются, а страницы обращаются к внешним сервисам. Чтобы удержать тест в заданных пределах, код должен проверять каждый запрос до его отправки. Руководство OWASP на 2026 год предлагает пропускать привилегированные действия через детерминированный механизм политик, который принимает решение во время выполнения, вне модели.
Другая проблема — учётные данные. Поиск раскрытых ключей входит в задачи пентеста, поэтому агент способен обнаружить работающий секрет за пределами своего задания. Одного запрета в инструкции недостаточно: код обвязки должен проверять каждую попытку использования ключа, определять, какие действия с ним разрешены, и устанавливать, когда нужно подключить человека.
Источником инструкций для модели может стать и само приложение. Вредоносный текст можно спрятать в поле формы, метаданных или комментарии, невидимые обычному пользователю. Его способен разместить любой человек, которому доступна публикация; иногда хватит одного отзыва о продукте. OWASP называет prompt injection главной угрозой для приложений на основе больших языковых моделей и отмечает, что надёжного способа предотвратить её пока нет. Практический вопрос поэтому не в том, обманут ли модель, а в том, какой ущерб она сможет причинить. Риск зависит от того, насколько жёстко ограничены действия и какие из них требуют дополнительной проверки и согласования.
Передача каждого решения человеку тоже не гарантирует безопасности. OWASP предупреждает об усталости от одобрений: при большом потоке запросов качество проверки падает. Если отправлять на согласование всё подряд, слабым местом станет уже сам процесс рассмотрения, а не модель.
Нужны и доказательства, которые разработчик сможет проверить. В октябре 2026 года Google перестала принимать сообщения об уязвимостях продуктов в своей открытой программе bug bounty после резкого роста автоматических заявок. Компания сообщила, что большинство из них были недействительными. Если разработчик не может воспроизвести находку, она рискует превратиться в очередную задачу, которую просто закроют. Полезный отчёт должен содержать выполненный эксплойт, подтверждение того, куда он добрался, и материалы для повторного запуска — при этом тест обязан оставаться в установленных границах.
Обвязка требует постоянного обслуживания. Новая версия модели может изменить поведение агента, а обновление приложения — открыть или закрыть проверяемый путь. В рабочей среде нужны тестирование после изменений, маршрутизация находок ответственным за соответствующий код разработчикам и строгий контроль над тем, какие клиентские данные получает поставщик модели. Результаты тестирования также следует связывать с остальной инфраструктурой. Рабочее разделение простое: модель решает, что попробовать; детерминированный код определяет, что будет выполнено, записывает действия и при необходимости останавливает их.
Pentera Apps строится по этой схеме: ИИ выбирает, что проверять, а детерминированная обвязка управляет выполнением. Модель не отправляет запросы в приложение напрямую. Каждое действие журналируется, а тест можно приостановить или остановить в любой момент. Pentera связывает этот подход с дисциплиной безопасного тестирования в производственной среде, которую применяет почти десять лет для тысяч клиентов по всему миру.
Каждая находка в Pentera Apps сопровождается повторно запускаемым скриптом эксплойта, оценкой по CVSS 3.1 и сопоставлением с CWE. Разработчик может проверить атаку самостоятельно, а после исправления запустить тот же сценарий ещё раз и убедиться, что уязвимый путь закрыт. Тестирование доступно по запросу и по расписанию; запуск проверок при изменениях в CI/CD заявлен как следующий этап, призванный встроить подтверждение исправлений в цикл разработки.
Для анализа в языковую модель передаются только минимальные объёмы данных после редактирования чувствительной информации. Pentera Apps заявляет нулевое хранение данных, отказ от обучения на данных клиентов и размещение данных в регионе заказчика. Перед каждым тестом система учитывает результаты разведки по поверхности атак клиента, находки его средств защиты и актуальные сигналы об угрозах. Это позволяет проследить путь эксплойта из веб-приложения в сетевую инфраструктуру, облако и систему идентификации на одной платформе.
В Pentera Apps обвязка уже встроена: командам безопасности не нужно разрабатывать её самостоятельно, чтобы получать проверяемые результаты. Ранний доступ к продукту Pentera Apps, Agentic Web App Pentesting, могут запросить команды, которым нужна такая схема агентного тестирования.
