Uns wurde von „Pentest GPT“ erzählt – setzt man sowas bei beauftragten Tests tatsächlich ein?

Im Grunde genommen ist das Ganze nur eine Prompt-Kette: Der Tester füttert den Output von Netzwerk- oder Vulnerability-Scannern ein und das Tool schlägt vor, welcher Befehl als Nächstes ausgeführt werden sollte. Im Hintergrund wird eine öffentliche KI-API angefunkt. Wer den Output einfach nur kopiert und in den Bericht packt, übersieht Business-Logic-Schwachstellen garantiert.

Lässt sich der Billiganbieter vertraglich auf eine strikte Geheimhaltungs- und Datenschutzvereinbarung ein? Wenn sie technisch nicht garantieren können, dass Testdaten nicht auf öffentlichen Servern landen – wollt ihr dieses Risiko bei einer Finanz-Scoring-Software wirklich eingehen?

Wir hatten letztes Jahr für rund 50.000 TL einen ähnlichen, primär automatisierten Pentest gebucht. Fast 80 Prozent des Berichts waren Standard-Scannerausgaben, und eine kritische Privilege-Escalation-Lücke in unserem Checkout haben sie komplett übersehen. Erst als wir später 110.000 TL für einen manuellen Test in die Hand genommen haben, kamen die echten Sicherheitslücken ans Licht.

„Kosten gesenkt“ heißt in der Branche meistens: Wir haben den Praktikanten drangesetzt und der lässt Befehle von einem Tool generieren. KI ist als Unterstützung super, aber wenn sie das als Kostenvorteil verkaufen, sparen sie schlicht an echter Expertenarbeit.

Sprecht noch mal mit der Firma und verlangt verbindlich, dass für jeden Befund im Bericht Nachweise aus einer manuellen Verifikation beiliegen müssen. Stellt von vornherein klar, dass ihr eine rein vom Tool generierte Liste hypothetischer Schwachstellen nicht akzeptieren werdet.

wir hatten das tool auch mal testweise aufgesetzt, zeigt halt standardbefehle an aber logikfehler wie berechtigungsprüfungen rafft das null dann bei nem finanzprojekt kann man sich da im leben nicht allein drauf verlassen, packt unbedingt ne ki-klausel in den vertrag.

Gemäß den für finanzdatenverarbeitende Institute geltenden Regularien kann die unkontrollierte Übermittlung von internen Netzwerk- und Kundendaten, die während der Testprozesse erfasst wurden, an im Ausland ansässige Cloud-Dienste zu Gesetzesverstößen führen. Es wird empfohlen, vom Dienstleister ein schriftliches Datenflussdiagramm einzufordern.

beim Umsetzzen gibt es drei Dinge zu beachten aber wenn Genehmigung und Umfang nicht schriftlich vorliegen darf der Test nicht starten.

korrigiert mich falls ich falsch liege.

Vielen Dank, ich werde es heute testen.

Das wusste ich nicht.

Bei uns war es so. Wenn Genehmigung und Umfang nicht schriftlich vorliegen, darf der Test nicht starten.

Das war's, entschuldige wenn ich zu lang war.

Nach diesem Erlebnis hat sich meine Sichtweise geändert. Die meisten Vorfälle beginnen nicht mit einer Schwachstelle, sondern mit einem geleakten Passwort.

Die obige Antwort bringt es auf den Punkt. Die meisten Vorfälle beginnen nicht mit einer Schwachstelle, sondern mit einem geleakten Passwort.

Dieses Thema ist archiviert.

Gut dass du diesen Thread eröffnet hast. naja das allein zu versuchen ist der teuerste Weg.

An deiner Stelle würde ich so vorgehen.

Mich interessiert das auch.

Hier lauert eine Falle, die ich nicht unerwähnt lassen möchte. Wenn wir ohne Messung entscheiden, landen wir immer wieder am selben Punkt.

Gespeichert.