Mi hanno parlato di un tool chiamato "Pentest GPT": c'è chi lo usa nei test che abbiamo richiesto?

Questo strumento è fondamentalmente una catena di prompt che analizza gli output delle scansioni di rete o dei vulnerability scanner inseriti dal tester e suggerisce quale comando eseguire al passaggio successivo. Dietro le quinte effettua chiamate a un modello di IA generico. Limitarsi a fare copia-incolla dell'output nel report significa ignorare totalmente le vulnerabilità di business logic.

L'azienda con l'offerta più bassa ha accettato di inserire nel contratto un accordo di riservatezza e un protocollo sul trattamento dei dati? Se non possono garantirvi tecnicamente che i dati del test non finiranno su server pubblici, ha senso correre un rischio simile per un software di scoring finanziario?

L'anno scorso abbiamo fatto fare un pentest simile, molto orientato all'automazione, spendendo intorno a 50.000 TL. Quasi l'ottanta per cento del report era l'output standard di uno scanner e si erano persi una vulnerabilità critica di privilege escalation nel nostro flusso di pagamento. In seguito, pagando 110.000 TL per un test manuale serio, sono venute a galla le vere falle.

Nel nostro settore la frase "abbiamo abbattuto i costi" significa quasi sempre "abbiamo affidato il lavoro allo stagista che dà comandi al tool". L'intelligenza artificiale è fantastica come supporto ma se la vendono come un vantaggio economico vuol dire che stanno tagliando sul lavoro dell'esperto.

Ricontattate l'azienda ed esigete che inseriscano nel report le prove di verifica manuale per ogni vulnerabilità rilevata. Mettete subito in chiaro che non accetterete una semplice lista di vulnerabilità ipotetiche generate dal tool.

l'avevamo installato pure noi x provarlo quel tool, ti fa vedere i comandi base ma i bug logici tipo il controllo dei permessi non li vede proprio. insomma su un progetto finance non ci si puo assolutamente affidare solo a quello, mettete x forza una clausola sull'ia nel contratto.

In base alle normative a cui sono soggetti gli istituti che trattano dati finanziari, il trasferimento incontrollato verso servizi cloud esteri dei dati di rete interna e dei clienti, raccolti durante i processi di test, può costituire una violazione di legge. Si consiglia di richiedere formalmente per iscritto al proprio fornitore lo schema del flusso di dati.

tre cose da controllare mentre lo fai e se permessi e ambito non sono scritti quel test non deve iniziare.

corrreggetemi se sbaglio.

Grazie mille, proverò oggi.

Non lo sapevo.

Nel nostro caso è andata così. Se permessi e ambito non sono scritti, quel test non deve iniziare.

È tutto scusate se mi sono dilungato.

Dopo aver vissuto questa cosa, il mio punto di vista è cambiato. La maggior parte degli incidenti non inizia da una vulnerabilità ma da una password trapelata.

La risposta sopra ha colto l'essenza della questione. La maggior parte degli incidenti non inizia da una vulnerabilità ma da una password trapelata.

Questo thread è archiviato.

Hai fatto bene ad aprire questo thread. cioè cercare di farlo da soli è la strada più costosa.

Io seguirei questa strada.

Mi chiedo anch'io.

C'è una trappola qui, non posso non segnalarla. Quando decidiamo senza misurare, finiamo sempre nello stesso punto.

Salvato.