Em resumo
- Testes manuais anuais aumentados com testes de caixa branca orientados por IA
- Identificou uma vulnerabilidade complexa e extrema através de uma exploração sensível ao contexto
- pentest de IA incorporado pentest de IA gerenciamento de vulnerabilidades contínuo gerenciamento de vulnerabilidades
- Redução relatórios de segurança manuais relatórios de segurança dias por mês para horas
- Segurança reforçada diretamente nos fluxos de trabalho de pull requests
Desafio
A TechWolf cria uma camada de dados orientada por IA que ajuda as empresas a compreender os cargos, as tarefas e as competências à medida que navegam pela transformação da força de trabalho. Trabalhar com tecnologia de RH significa lidar com informações comerciais e pessoais confidenciais. A segurança não é um recurso. É um pré-requisito.
A TechWolf investe há muito tempo na sua postura de segurança. A empresa mantém a certificação ISO 27001, realiza auditorias SOC 2 anuais, executa testes de penetração externos anuais e utiliza DAST SAST, SCA e DAST em toda a sua pilha.
Mas a maturidade da segurança não é estática.
«Um dos nossos valores é "Almejar a lua". Para mim, isso inclui elevar o nível de segurança ano após ano», disse Kilian, engenheiro de operações de segurança da TechWolf.
Com o tempo, os testes de penetração manuais começaram a produzir menos resultados óbvios. Isso era um bom sinal. Ainda assim, a equipa sabia que, numa base de código em crescimento e evolução, casos extremos sutis podem continuar a ser difíceis de detectar num compromisso de tempo fixo.
A TechWolf quis ir um passo além.
“Embora realizemos um teste de penetração manual anual com um fornecedor externo, encontramos menos problemas graves e acreditávamos que havia mais riscos ocultos nas camadas mais profundas do código-fonte.”
Adicionar pentest de IA ampliar o programa de segurança
A TechWolf decidiu testar pentest de IA Aikido pentest de IA uma extensão do seu programa existente. A configuração foi simples, pois o ambiente deles já estava conectado dentro Aikido.
“Levei menos de 15 minutos para configurar tudo. Em poucas horas, os agentes já tinham encontrado algo interessante.”
Ao contrário de um compromisso tradicional limitado por tempo e escopo, os agentes de IA foram capazes de analisar diretamente o contexto do código-fonte, explorar casos extremos e gerar caminhos de ataque reproduzíveis.
“Acredito que a eficácia reside nos testes de penetração LLM Aikido, que utilizam muito mais contexto do que um pentester manual jamais poderia, especificamente através da análise do código-fonte.”
Para a TechWolf, não se tratava de substituir os testes manuais, mas sim de complementá-los.
“Ambas as abordagens têm o seu lugar. pentest de IA persistência e profundidade, especialmente em áreas que são mais difíceis de alcançar num compromisso com prazo determinado.”
O que o teste de penetração de IA revelou
Durante o teste, o pentest de IAAikidoidentificou uma vulnerabilidade complexa enraizada na lógica da aplicação.
Não se tratava de uma configuração errada superficial ou de uma simples verificação em falta. Era necessário compreender como componentes específicos interagiam em diferentes partes da base de código.
«Ficámos impressionados com a profundidade», disse Kilian. «Não se tratava de encontrar algo básico. Tratava-se de explorar partes da aplicação que são naturalmente mais difíceis de alcançar.»
Os agentes de IA geraram uma análise detalhada do ataque, juntamente com um script de prova de conceito, permitindo que a equipa verificasse e reproduzisse o problema rapidamente.
«Os scripts PoC foram cruciais», disse Kilian. «Eles eliminam dúvidas, reduzem falsos positivos e facilitam aos engenheiros a compreensão exata do que precisa ser corrigido.»
Para a TechWolf, isso validou a decisão de expandir a sua estratégia de testes. Os testes de penetração manuais continuam a ser um pilar importante do seu programa. pentest de IA uma camada de exploração sensível ao contexto que reforça a cobertura geral.
Além do pentesting: consolidando a segurança em uma única plataforma
Embora o teste de penetração de IA tenha proporcionado um valor imediato, o impacto mais amplo veio do uso Aikido gerenciamento de vulnerabilidades central gerenciamento de vulnerabilidades .
«Já utilizamos ferramentas de segurança padrão, como SAST, SCA, DAST e testes de penetração tradicionais», disse Kilian. «No entanto, muitas vezes estas ferramentas são isoladas, o que dificulta a priorização entre várias descobertas isoladas».
Aikido as descobertas em todas as ferramentas, incluindo os resultados dos testes de penetração, e prioriza-as automaticamente através da sua funcionalidade AutoTriage.
“O principal valorAikidoé garantir que concentremos os nossos esforços nas questões mais críticas primeiro, através da sua funcionalidade AutoTriage, enquanto acompanhamos todas as outras descobertas.”
A segurança agora é aplicada diretamente no fluxo de trabalho de desenvolvimento. As solicitações de pull não podem ser mescladas enquanto houver vulnerabilidades não resolvidas, impedindo que os problemas cheguem à produção.
Resultados
Com o tempo, as melhorias operacionais tornaram-se evidentes.
Antes Aikido, Kilian dedicava muito tempo a consolidar resultados de diferentes ferramentas, preparar documentação de auditoria e priorizar manualmente as vulnerabilidades.
Agora, as vulnerabilidades são automaticamente priorizadas e atribuídas às equipas relevantes.
“A melhoria mensurável mais significativa é a redução do tempo das operações manuais de segurança”, afirmou Kilian.
Melhorias mensuráveis
.png)
Veredito final
Para a TechWolf, adotar pentest de IA não pentest de IA substituir os controlos ou parceiros existentes. Significava continuar a elevar o nível.
«Para nós, trata-se de elevar continuamente o nível», afirmou Kilian.
Aikido -nos a permanecer proativos, priorizar as questões certas e gastar menos tempo com despesas operacionais.”
Ao combinar testes de penetração manuais anuais com testes de IA sensíveis ao contexto e gerenciamento de vulnerabilidades centralizado gerenciamento de vulnerabilidades, a TechWolf fortaleceu um programa de segurança já maduro, adicionando profundidade, visibilidade e eficiência sem interromper os processos existentes.
