نقاط کور پنتست عاملی و نحوه بستن آنها

توسط Sila Ozeren Hacioglu، مهندس تحقیقات امنیتی در Picus Security.

برای سال‌ها، تیم‌های امنیتی فاصله‌ای چند هفته‌ای بین عمومی شدن یک CVE و سوءاستفاده مهاجمان از آن داشتند. هر سال آن پنجره کوچکتر می شد. سپس مدل‌های کلاس Mythos وارد شدند و مهاجمان اکنون می‌توانند ظرف چند ساعت یک CVE جدید را به سلاح تبدیل کنند. این باعث می شود تیم های امنیتی زمان بسیار کمی را برای یافتن اینکه آیا در معرض قرار گرفته اند یا خیر.

اینجاست که تست تهاجمی وارد می شود. اما به طور سنتی بر اساس یک برنامه اجرا می شود. با گذشت سالها، این برنامه فشرده تر شد. پنتست‌های سالانه به صورت فصلی درآمدند و ابزارهای تست نفوذ خودکار، آزمایش هفتگی را ممکن کردند.

هر پیشرفت زمانی را کوتاه می کرد که یک تغییر می توانست بدون آزمایش بماند. زمانی که بهره‌برداری هفته‌ها طول کشید، آزمایش خودکار خودکار سنتی به خوبی کار می‌کرد. اکنون که مهاجمان یک جهش بزرگ انجام داده اند، آزمایش تهاجمی نیز در حال انجام است.

آن جهش عاملی است. امروز لبه تیز تست تهاجمی است، اما نقاط کوری دارد. این قطعه به محل قرار گرفتن آنها و نحوه بستن آنها می پردازد.

یک آزمایش دستی معمولا چندین مرحله را طی می کند: شناسایی، ارزیابی آسیب پذیری، دسترسی اولیه، پس از بهره برداری و گزارش. ابزارهای سنتی پنتست خودکار از همان مراحل پیروی می کنند. حتی قبل از شروع LLM ها، برخی از ابزارهای پیشرفته از یادگیری ماشینی برای انتخاب مرحله بعدی استفاده می کردند. به عنوان مثال، پنج سال پیش، ما محصول اعتبارسنجی مسیر حمله (APV) خود را با چنین موتور تصمیم‌گیری ساختیم. اما عوامل هوش مصنوعی آن را فراتر می برند.

در پنتست عاملی، یک یا چند عامل هوش مصنوعی گام به گام پنتست را انجام می دهند. در محصول ما، Picus Swarm از پنج عامل تخصصی که توسط Numi AI تنظیم شده‌اند، استفاده می‌کند.

نمایندگان پنتست هوش مصنوعی یافته ها و زمینه سازمان شما را ارزیابی می کنند تا مرحله بعدی را به صورت پویا انتخاب کنند. این خلاقیت به آن‌ها اجازه می‌دهد تا زنجیره‌های بهره‌برداری را بسیار سریع‌تر از یک انسان نفوذگر پیدا کنند، از جمله برخی از زنجیره‌هایی که ممکن است انسان به‌طور کامل از دست بدهد. با این حال، خلاقیت هزینه دارد.

اجرای همه چیز به صورت عاملی از توکن های زیادی استفاده می کند و نتایج از اجرا به اجرا متفاوت است. حتی زمانی که هیچ چیز در محیط تغییر نکرده است، یک عامل می تواند پنج بار از یک آسیب پذیری سوء استفاده کند و در ششمین بار موفق شود. انجام ده‌ها آزمایش برای اطمینان از گران شدن است، و در یک سازمان بزرگ با هزاران نقطه پایانی، یک اجرای عاملی می‌تواند هفته‌ها طول بکشد.

به همین دلیل است که هنوز به آزمایش خودکار قطعی نیاز است. خلاقیت کمتری دارد، اما آزمایش مداوم ارائه می‌کند، هزینه کمتری دارد و سریع‌تر تمام می‌شود، بنابراین می‌تواند به مراتب بیشتر اجرا شود. مراحل تکرارپذیر را دنبال می‌کند و به تیم‌ها اجازه می‌دهد تا اجراها را در طول زمان مقایسه کنند و به‌طور قابل اعتمادی اصلاحات را دوباره آزمایش کنند.

رویکرد درست هر دو را ارائه می دهد. آزمایش‌های قطعی را اغلب برای پوشش قابل پیش‌بینی و آزمون‌های عاملی در فواصل زمانی تعیین‌شده اجرا کنید. هر چند وقت یکبار بستگی به نیازهای سازمان و ریسک پذیری شما دارد. Picus Autonomous Pentesting می تواند در هر دو حالت اجرا شود، کاملا عاملی یا قطعی، و با زمینه، خطرات و تغییرات در چشم انداز تهدید و محیط شما سازگار است.

پنداشت عاملی ارزشمند است و نیاز به آن واقعی است. اما محدودیت هایی دارد که ارزش درک دارد.

در بیشتر استقرارها، pentesting خودکار تنها یکی از شش سطحی را که باید اعتبارسنجی کنید، پوشش می‌دهد.

این کاغذ سفید نشان می‌دهد که چه چیزی آزمایش نشده باقی می‌ماند، از قوانین تشخیص گرفته تا ابر، هویت و نرده‌های محافظ هوش مصنوعی، چرا افزودن هوش مصنوعی این سقف را بالا نمی‌برد، و سه سؤالی که این شکاف را آشکار می‌کنند.

بزرگترین نقطه قوت Pentesting عامل نیز محدودیت آن است. با اجرای حملات واقعی آزمایش می کند، بنابراین فقط می تواند آنچه را که می تواند با خیال راحت به آن برسد آزمایش کند. تحقیقات Omdia نشان داد که سازمان ها به طور متوسط ​​تنها 32 درصد از سطح حمله خود را نفوذ می کنند.

محدودیت های ایمنی آن را از سیستم های حیاتی دور نگه می دارد. یک اکسپلویت واقعی می تواند یک سرویس را از کار بیندازد، داده ها را خراب کند یا باعث خرابی شود. به همین دلیل است که راهنمای PCI و NIST به آزمایش‌کنندگان توصیه می‌کند از سوء استفاده‌های مخرب احتمالی در سیستم‌های تولید شکننده اجتناب کنند. قابلیت دسترسی بقیه موارد را محدود می کند. عامل فقط می تواند آنچه را که مسیر شبکه دارد آزمایش کند، بنابراین مناطق تقسیم شده و دارای شکاف هوا دور از دسترس باقی می مانند.

ما این را در یک محیط مشتری دیدیم. اسکنرهای آنها یک بای پس احراز هویت nginx-ui (CVE-2026-33032) را در 480 نمونه پرچم گذاری کردند.

در محدوده مجاز، pentesting عاملی می تواند تنها 120 مورد از آنها را آزمایش کند. تایید کرد که 80 مورد قابل بهره برداری هستند، در حالی که 40 مورد مسدود شده بودند. 360 مورد دیگر، سه مورد از هر چهار مورد آسیب دیده، دور از دسترس بودند و هیچ حکمی دریافت نکردند.

مورد nginx-ui یک CVE را پوشش می‌دهد. به تمام CVE های محیط خود بزرگنمایی کنید و یک شکاف دوم ظاهر می شود. حتی در دارایی‌هایی که یک ابزار پنتست عاملی می‌تواند به آن دسترسی پیدا کند، بسیاری از آسیب‌پذیری‌ها را نمی‌توان آزمایش کرد، زیرا هیچ اکسپلویتی برای اجرا وجود ندارد.

VulnCheck دریافت که تنها حدود یک چهارم از CVE های 2025 دارای کد اثبات مفهوم (PoC) یا جزئیات سوء استفاده هستند. همچنین دریافت که 29 درصد از آسیب‌پذیری‌هایی که در سال 2025 مورد سوء استفاده قرار گرفته‌اند، در تاریخ انتشار CVE یا قبل از آن مورد سوء استفاده قرار گرفته‌اند. بدون بهره برداری عمومی برای اجرا، برخی از تیم ها از یک LLM می خواهند که یکی بنویسد. با این حال، یک اکسپلویت آزمایش نشده ممکن است یک سرویس را خراب کند یا داده ها را خراب کند.

بنابراین Pentesting عاملی دو شکاف باقی می‌گذارد: دارایی‌هایی که هرگز به آن‌ها نمی‌رسد، مانند آن 360 نمونه، و آسیب‌پذیری‌هایی که نمی‌تواند روی دارایی‌هایی که به آن‌ها می‌رسد آزمایش کند، اغلب به این دلیل که سوءاستفاده‌ای برای اجرا وجود ندارد.

شکست فنی کامل را می خواهید؟ وایت پیپر را دانلود کنید.

در مورد بای پس nginx-ui که در بالا مورد بحث قرار گرفت، پنتست عاملی 360 مورد از 480 مورد آسیب‌دیده را بدون پاسخ گذاشت. اعتبار سنجی بهره‌برداری، ارائه شده توسط Picus Exposure Validation، سعی نمی‌کند با بهره‌برداری به آنها برسد. CVE را به رفتارهای مهاجم مورد نیاز برای بهره برداری از آن تجزیه می کند و هر رفتار را در برابر کنترل های امنیتی زنده شما در عرض چند ساعت آزمایش می کند.

از آنجایی که حکم به جای بهره‌برداری موفقیت‌آمیز بر شواهد کنترل استوار است، یک PoC از دست رفته به عنوان مدرکی برای ایمن بودن یک دارایی تلقی نمی‌شود. این هر دو شکاف را برطرف می کند. همراه با زمینه دارایی، این شواهد به 360 نمونه آزمایش نشده حکم می‌دهد: 260 مورد توسط کنترل‌ها مسدود شده و 100 مورد احتمالا قابل بهره‌برداری هستند.

480 یافته خام به 180 اولویت مبتنی بر شواهد تبدیل می شوند: 80 مورد تأیید شده از طریق آزمایش عاملی قابل بهره برداری هستند و 100 یافته به عنوان احتمال قابل بهره برداری از طریق اعتبار سنجی قرار گرفتن در معرض ارزیابی ارزیابی می شوند.

شما می‌دانید که کنترل‌های شما در حال حاضر کدام میزبان‌ها را پوشش می‌دهند و کدام یک نیاز به کنترل جبرانی دارند.

اجرای این روش‌ها به‌عنوان ابزار مجزا می‌تواند یافته‌های تکراری یا تکراری و اولویت‌های متضاد را ایجاد کند. آن‌ها باید یک مدل یافته‌های مشترک، مبتنی بر شواهد و متن آگاه را با یک عقب‌ماندگی و یک نتیجه در هر مواجهه تغذیه کنند.

پلتفرم Picus بر اساس این اصل ساخته شده است، با Pentesting خودکار، اعتبارسنجی نوردهی، و شبیه سازی نقض و حمله که بر اساس شواهد مشترک کار می کند.

هنگامی که یک CVE حیاتی سقوط می کند، Numi AI آن را به عنوان یک سیگنال دریافت می کند و عوامل Picus Swarm آن را از آنجا می گیرند.

کشف. CVE با اطلاعات تهدید غنی شده و با تکنیک های مهاجم نگاشت شده است. دارایی های تحت تأثیر، اهمیت تجاری آنها و کنترل های مستقر شناسایی می شوند.

اعتبار سنجی. Pentesting خودمختار دارایی‌های درون محدوده را آزمایش می‌کند، کنترل‌های آزمایش‌های شبیه‌سازی نقض و حمله، و اعتبارسنجی مواجهه هر دارایی آسیب‌دیده را ارزیابی می‌کند.

بسیج. کاهش خطر کم به طور خودکار مستقر می شود. بقیه به مالکان اختصاص داده می شود و هر اصلاحی مجددا تأیید می شود.

مهاجمان با مدل‌های کلاس Mythos اکنون می‌توانند ظرف چند ساعت یک CVE جدید را مسلح کنند. آزمایش عاملی قدرتمندترین راه برای آزمایش مانند یک مهاجم واقعی است، و زمانی که همان پلتفرم از تست‌های قطعی نیز پشتیبانی می‌کند، آزمایش هم خلاقانه و هم قابل تکرار باقی می‌ماند. اما حتی با هم، این روش ها فقط می توانند آنچه را که می توانند با خیال راحت به آن برسند، آزمایش کنند.

Exposure Validation بقیه موارد را پوشش می دهد. همراه با Breach و Attack Simulation، این سه قابلیت به عنوان یک پلتفرم برای اعتبارسنجی هر CVE در هر دارایی در چند ساعت کار می کنند.

می خواهید آن را به صورت زنده ببینید؟ ما شما را از طریق آن راهنمایی می کنیم. اکنون نسخه ی نمایشی رایگان خود را درخواست کنید.