- 27,956
- 46
- 8 Ноя 2022
Cobalt зафиксировала кризис автопентеста.
Автоматический пентест оказался слабым местом там, где рынок ждал почти полной замены человека. Сканеры уверенно находят известные ошибки по сигнатурам, но всё чаще пропускают критические уязвимости в ИИ-системах, где атака строится не одним запросом, а цепочкой действий, контекстом и манипуляцией поведением модели.
Компания Cobalt в отчёте State of Pentesting за 2026 год зафиксировала резкое падение интереса к полностью автономным проверкам безопасности. По данным опроса, 78% специалистов сталкивались с критически важными ложноотрицательными результатами автоматических сканеров. Инструменты показывали отсутствие серьёзной проблемы, хотя опасная уязвимость оставалась в системе.
Cobalt отдельно подчёркивает разницу между классическими уязвимостями и рисками ИИ. Автоматические сканеры хорошо ищут известные проблемы, основанные на сигнатурах, но плохо справляются с prompt injection , ошибками избыточных полномочий и многошаговыми логическими атаками. Для поиска сложных дефектов нужна последовательная работа с системой, проверка реакции на разные формулировки, понимание контекста и атакующего поведения. Одноразовые автоматические запросы обычно не раскрывают такие риски.
Разочарование быстро изменило настроение команд безопасности. Лишь девять процентов участников опроса допустили переход на полностью автоматизированный пентест , хотя годом ранее доля достигала 29%. Выборка Cobalt включала 450 человек, поэтому выводы нельзя считать окончательной картиной всего рынка, но падение выглядит слишком заметным, чтобы списать результат на статистический шум.
В Cobalt называют отказ от слепого доверия автопентесту здоровым сигналом для отрасли. По оценке компании, специалисты всё чаще смотрят не на количество найденных пунктов в отчёте, а на реальную уверенность в защищённости системы. При этом Cobalt сама продаёт гибридные решения для пентеста, поэтому выводы компании стоит читать с поправкой на коммерческий интерес поставщика.
Рост недоверия совпал с другой проблемой: ИИ-среды приносят больше серьёзных уязвимостей. В традиционных инфраструктурах около 12% найденных проблем получают высокий или критический уровень опасности. В окружениях с ИИ и большими языковыми моделями доля достигает 32%. По данным Cobalt, показатель держится на таком уровне второй год подряд.
Компания предлагает гибридную модель, при которой автоматические инструменты проверяют большую часть инфраструктуры, а критически важные системы остаются под контролем специалистов. Сканеры помогают быстрее покрывать типовые зоны риска, но человек проверяет сложную логику, цепочки действий и решения, где ошибка может привести к серьёзному инциденту.
Похожую тревогу ранее выражала Veracode . Компания сообщала, что разработка с помощью ИИ создаёт больше уязвимостей, чем команды безопасности успевают исправлять. По оценке Veracode, 82% организаций оставляют известные проблемы открытыми дольше года, а доля высокорисковых уязвимостей среди всех найденных проблем растёт.
Полностью списывать автоматический пентест со счетов рынок всё же не готов. Глава службы безопасности Amazon CJ Moses говорил, что ИИ-инструменты повысили эффективность команд Amazon на 40%, хотя методика расчёта не раскрывалась. Даже после роста эффективности Amazon не отдаёт машине весь процесс принятия решений: ИИ полезен при анализе больших объёмов данных, но финальную оценку риска и выбор действий должен сохранять человек.
Автоматический пентест оказался слабым местом там, где рынок ждал почти полной замены человека. Сканеры уверенно находят известные ошибки по сигнатурам, но всё чаще пропускают критические уязвимости в ИИ-системах, где атака строится не одним запросом, а цепочкой действий, контекстом и манипуляцией поведением модели.
Компания Cobalt в отчёте State of Pentesting за 2026 год зафиксировала резкое падение интереса к полностью автономным проверкам безопасности. По данным опроса, 78% специалистов сталкивались с критически важными ложноотрицательными результатами автоматических сканеров. Инструменты показывали отсутствие серьёзной проблемы, хотя опасная уязвимость оставалась в системе.
Cobalt отдельно подчёркивает разницу между классическими уязвимостями и рисками ИИ. Автоматические сканеры хорошо ищут известные проблемы, основанные на сигнатурах, но плохо справляются с prompt injection , ошибками избыточных полномочий и многошаговыми логическими атаками. Для поиска сложных дефектов нужна последовательная работа с системой, проверка реакции на разные формулировки, понимание контекста и атакующего поведения. Одноразовые автоматические запросы обычно не раскрывают такие риски.
Разочарование быстро изменило настроение команд безопасности. Лишь девять процентов участников опроса допустили переход на полностью автоматизированный пентест , хотя годом ранее доля достигала 29%. Выборка Cobalt включала 450 человек, поэтому выводы нельзя считать окончательной картиной всего рынка, но падение выглядит слишком заметным, чтобы списать результат на статистический шум.
В Cobalt называют отказ от слепого доверия автопентесту здоровым сигналом для отрасли. По оценке компании, специалисты всё чаще смотрят не на количество найденных пунктов в отчёте, а на реальную уверенность в защищённости системы. При этом Cobalt сама продаёт гибридные решения для пентеста, поэтому выводы компании стоит читать с поправкой на коммерческий интерес поставщика.
Рост недоверия совпал с другой проблемой: ИИ-среды приносят больше серьёзных уязвимостей. В традиционных инфраструктурах около 12% найденных проблем получают высокий или критический уровень опасности. В окружениях с ИИ и большими языковыми моделями доля достигает 32%. По данным Cobalt, показатель держится на таком уровне второй год подряд.
Компания предлагает гибридную модель, при которой автоматические инструменты проверяют большую часть инфраструктуры, а критически важные системы остаются под контролем специалистов. Сканеры помогают быстрее покрывать типовые зоны риска, но человек проверяет сложную логику, цепочки действий и решения, где ошибка может привести к серьёзному инциденту.
Похожую тревогу ранее выражала Veracode . Компания сообщала, что разработка с помощью ИИ создаёт больше уязвимостей, чем команды безопасности успевают исправлять. По оценке Veracode, 82% организаций оставляют известные проблемы открытыми дольше года, а доля высокорисковых уязвимостей среди всех найденных проблем растёт.
Полностью списывать автоматический пентест со счетов рынок всё же не готов. Глава службы безопасности Amazon CJ Moses говорил, что ИИ-инструменты повысили эффективность команд Amazon на 40%, хотя методика расчёта не раскрывалась. Даже после роста эффективности Amazon не отдаёт машине весь процесс принятия решений: ИИ полезен при анализе больших объёмов данных, но финальную оценку риска и выбор действий должен сохранять человек.
- Источник новости
- www.securitylab.ru
