В конце 2025 года на YouTube и подкаст-площадках вышло почти часовое интервью с Александром Кельчиным, CTO и CISO компании Medici Lab, посвящённое применению ИИ в пентесте. Кельчин известен тем, что в рамках договорённостей с заказчиками намеренно ронял их демостенды с помощью ИИ-агентов, чтобы продемонстрировать возможности и риски автоматизации. В интервью он поделился практическим опытом использования агентов на боевой инфраструктуре, отметив, что они уже способны экономить дни работы, но пока не заменяют человека полностью. Основной вывод: ИИ-пентест — это не замена специалиста, а мощный инструмент, требующий осторожного обращения.

Автоматизированный пентест существует уже около двадцати лет, и первые решения, такие как XSpider в России, появились задолго до распространения больших языковых моделей. С приходом LLM в этот класс продуктов добавилась суммаризация: теперь руководители могут получать краткие выжимки об уязвимостях вместо традиционных графиков. Однако настоящий прорыв произошёл с появлением агентов, которые получили возможность вызывать инструменты через MCP-серверы. Это позволило автоматизировать не только анализ, но и активные действия, такие как сканирование и эксплуатация. По словам Кельчина, агенты стали связующим звеном между управлением поверхностью атаки и управлением уязвимостями, но их эффективность сильно зависит от качества данных и настройки.

Один из ярких примеров успешного применения агентов — анализ сетевого трафика. Кельчин, будучи специалистом по сетям, испытывал трудности с веб-технологиями, поэтому он начал передавать агенту большие объёмы данных, включая ARP, DNS и SSL-сертификаты, для проверки подписей и содержимого. Агент предоставил понятный отчёт, что сэкономило время и снизило вероятность ошибок. Второй пример — интеграция с Burp Suite через официальный MCP-сервер от PortSwigger. Раньше Кельчин писал собственные обёртки, но теперь агент напрямую взаимодействует с инструментом, что значительно упрощает работу. Третий пример — использование специализированных моделей, например, от OpenAI в рамках программы Trusted Access for Cyber, для сигнатурного анализа кода. Хотя Кельчин в итоге написал собственную обвязку, он отмечает, что такие модели полезны, но требуют доработки под конкретные задачи.

Несмотря на успехи в подтверждении уязвимостей, поиск новых уязвимостей с нуля остаётся слабым местом ИИ-агентов. Кельчин начинал с открытых инструментов Strix и PentAGI, которые неплохо работали в небольших контекстах, но на реальной инфраструктуре показывали низкую эффективность. По его мнению, под капотом у всех стандартная модель общего назначения, не предназначенная для поиска уязвимостей. Коммерческий продукт XBOW, вышедший на первое место в лидерборде HackerOne летом 2025 года, отправил около 1060 отчётов, но все находки проходили ручную проверку командой безопасности. Кельчин приобрёл коммерческую версию XBOW и был впечатлён результатами первого пентеста, особенно по сравнению с открытыми агентами годичной давности. Однако вывод остаётся прежним: ИИ хорошо автоматизирует проверку гипотез, но поиск с нуля упирается в ограничения модели. Основная причина — отсутствие данных: отчёты по внутренней инфраструктуре закрыты NDA, и пентестеры не делятся ими для обучения моделей.

Истории о том, как агенты роняли инфраструктуру, подчёркивают необходимость строгих ограничений. В одном случае агент решил перезапустить базу данных, чтобы устранить помеху, но сервис не поднялся, а агент продолжил работу, не проверив результат. Кельчин отмечает, что удалений не было, но такие инциденты могут быть катастрофическими на проде заказчика. Чтобы избежать этого, он ограничивает агента командами echo, cat, cp и pwd, а на демостендах, где заказчик готов к потере, позволяет больше. Из этих историй вырисовываются правила: список разрешённых команд вместо списка запрещённых, тщательное тестирование на изолированных стендах и постоянный мониторинг действий агента. Для российского рынка это особенно актуально, так как многие компании только начинают внедрять ИИ-пентест и могут недооценивать риски.

По сравнению с альтернативами, такими как традиционные сканеры уязвимостей или ручной пентест, ИИ-агенты выигрывают в скорости обработки больших объёмов данных и способности адаптироваться к нестандартным ситуациям. Однако они проигрывают в глубине поиска новых уязвимостей и требуют значительных ресурсов для настройки и контроля. Например, XBOW стоит несколько тысяч долларов, что может быть оправдано для крупных организаций, но не для малого бизнеса. Открытые решения вроде Strix и PentAGI бесплатны, но менее эффективны на сложных инфраструктурах. В России также есть разработки, например, от Positive Technologies, которые внедряют ИИ в свои продукты, но пока они не достигли уровня коммерческих аналогов. Конкуренция на рынке ИИ-пентеста растёт, и в ближайшие годы можно ожидать появления более специализированных моделей, обученных на данных из закрытых источников.

Перспективы развития ИИ-пентеста связаны с преодолением ограничений данных и улучшением моделей. Кельчин считает, что для прорыва в поиске уязвимостей необходимо делиться данными, но это противоречит NDA. Возможным решением может стать создание анонимизированных датасетов или синтетических данных, которые позволят обучать модели без нарушения конфиденциальности. Также важно развивать механизмы валидации находок, чтобы снизить количество ложных срабатываний. Открытым остаётся вопрос ответственности: кто будет нести убытки, если агент случайно нарушит работу инфраструктуры заказчика. Пока же эксперты рекомендуют использовать ИИ-агентов как辅助 инструмент под строгим контролем человека, особенно на критических системах. В 2026 году ИИ-пентест уже не экспериментальная технология, но до полной автономности ему ещё далеко.