Một đợt kiểm thử xâm nhập truyền thống là một dự án. Bạn xác định phạm vi, chờ đến lượt, thanh toán một hóa đơn hàng trăm triệu đồng, và nhận một tệp PDF vài tuần sau đó mô tả một hệ thống đã thay đổi từ lâu. Với một nhóm phát hành hằng tuần, đó là ảnh chụp của thứ đã không còn. Tác nhân AI tự động thay đổi bài toán kinh tế — và, nếu bạn làm cẩn thận, cả nhịp độ kiểm thử.
Chi phí nằm ở đâu trong một dự án kiểm thử thủ công
Phần lớn giá của một đợt kiểm thử thủ công là giờ công chuyên gia dành cho những việc có thể lặp lại: liệt kê endpoint, thử các lớp tấn công đã biết, viết lại những gì tìm thấy. Đó là lý do các dự án thông thường có giá khoảng 260 đến 780 triệu đồng, và vì sao các nhóm chỉ mua một hoặc hai lần mỗi năm.
Điều gì thay đổi khi có tác nhân
Các tác nhân của chúng tôi kiểm thử ứng dụng AI — chatbot, tác nhân và endpoint RAG — theo OWASP LLM Top 10, được ánh xạ sang MITRE ATLAS. Mỗi lần chạy theo cùng một khuôn: trinh sát, thử tấn công từng hạng mục, và một chuỗi đi từ điểm yếu này sang điểm yếu khác cho đến khi tạo ra được một bằng chứng khai thác hoạt động được, hoặc không tạo ra gì.
- Mọi phát hiện được báo cáo đều có bằng chứng khai thác có thể tái hiện. Những ứng viên mà tác nhân không chứng minh được sẽ bị loại bỏ và không bao giờ vào hàng đợi của bạn. Đó là hiệu quả lớn nhất: kỹ sư không phải mất cả buổi sáng để bác bỏ dương tính giả.
- Vài phút đến một phát hiện đã được chứng minh, không phải vài tuần đến một bản báo cáo. Lần chạy được thuật lại trong khi diễn ra, để bạn thấy những gì đã được thử và kết quả trả về.
- Mức trần ngân sách giới hạn trường hợp xấu nhất. Mỗi gói đặt một giới hạn cho số tiền một lần chạy được phép chi, nên chi phí có thể dự đoán được.
- Ba sản phẩm đầu ra: một thư chứng thực có thể chia sẻ, một báo cáo kỹ thuật đầy đủ cho kỹ sư và kiểm toán viên của bạn, và một bản máy đọc được cho các công cụ GRC.
Phép tính
Đây là một bảng so sánh đơn giản, dành cho đội phát hành hằng tháng và muốn có một đợt đánh giá cho mỗi lần phát hành:
| Thủ công, 12 lần/năm | Tác nhân AI, 12 lần/năm | |
|---|---|---|
| Giá mỗi lần đánh giá | ≈ 260.000.000–780.000.000 ₫ | Một lần quét, tính theo từng lần quét |
| Chi phí hằng năm | ≈ 3.120.000.000–9.360.000.000 ₫ | Mười hai lần quét mỗi năm |
| Thời gian có kết quả | Vài tuần mỗi dự án | Vài phút đến một phát hiện đã được chứng minh |
| Nhịp độ trên thực tế | Một hoặc hai lần mỗi năm | Mỗi bản phát hành |
Nơi con người vẫn vượt trội
- Logic nghiệp vụ mới lạ. Tác nhân tìm thấy những gì khớp với các mẫu nó đã biết. Một người hiểu sản phẩm của bạn sẽ tìm ra kịch bản lạm dụng mà chưa ai lập danh mục.
- Phán đoán phạm vi. Quyết định điều gì đáng tấn công, và điều gì nằm ngoài giới hạn, là việc của con người.
- Mức bảo đảm mà cơ quan quản lý hoặc khách hàng chấp nhận. Một số hợp đồng yêu cầu một chuyên gia kiểm thử có tên tuổi, có chứng chỉ. Vì lý do đó chúng tôi cung cấp dịch vụ rà soát lần quét bởi chuyên gia có chứng chỉ, và chúng tôi không bao giờ mô tả một lần chạy tự động là một chứng nhận.
Mô hình hợp lý là nhiều lớp: kiểm thử tự động trên mọi thay đổi đáng kể, và một dự án do con người thực hiện để đi sâu, theo lịch và ở phạm vi mà lớp tự động đã dọn dẹp trước. Giờ công của con người được dành cho phần khó.
Hiệu quả mà bạn có thể kiểm chứng
Ba điều nên hỏi bất kỳ nhà cung cấp nào, kể cả chúng tôi:
- Bao nhiêu phần phát hiện của bạn đi kèm bằng chứng hoạt động được? Với chúng tôi là mọi phát hiện được báo cáo; hãy hỏi những phát hiện còn lại đã đi đâu.
- Tôi có thể phát lại nó không? Một bằng chứng khai thác mà bạn không chạy lại được chỉ là một lời khẳng định.
- Bạn đã thử những gì và thất bại ở đâu? Một kết quả sạch chỉ có ý nghĩa nếu bạn thấy được những gì đã được thử.
An toàn là một phần của giá
Một công cụ tấn công nhắm vào hệ thống của bạn cần có ranh giới. Mục tiêu công khai phải được xác minh quyền sở hữu trước mọi bài kiểm thử, việc kiểm thử chạy trong một sandbox dùng một lần với lưu lượng ra và ngân sách có giới hạn, và mã nguồn không bao giờ được dùng để huấn luyện mô hình. Những cam kết đó được nêu trên Trung tâm tin cậycủa chúng tôi, và chính chúng là lý do một bài kiểm thử tự động là thứ bạn có thể chạy vào một buổi chiều thứ Ba bình thường.
Hãy thử quét một ứng dụng staging từ trang kiểm thử xâm nhập, xem các gói, hoặc hãy liên hệ chúng tôi về các gói dành cho công ty và MSSP.