De un vistazo
- Pruebas manuales anuales aumentadas con pruebas de caja blanca impulsadas por IA.
- Identificó una vulnerabilidad compleja y poco habitual mediante una exploración sensible al contexto.
- Integración pentesting de IA gestión de vulnerabilidades continua gestión de vulnerabilidades
- Reducción reportes de seguridad manuales reportes de seguridad días al mes a horas.
- Seguridad reforzada directamente en los flujos de trabajo de solicitudes de extracción.
Desafío.
TechWolf crea una capa de datos basada en inteligencia artificial que ayuda a las empresas a comprender los puestos de trabajo, las tareas y las habilidades a medida que avanzan en la transformación de su plantilla. Trabajar en el ámbito de la tecnología de recursos humanos implica manejar información confidencial, tanto empresarial como personal. La seguridad no es una característica más, sino un requisito imprescindible.
TechWolf lleva mucho tiempo invirtiendo en su postura de seguridad. La empresa mantiene la certificación ISO 27001, realiza auditorías SOC 2 anuales, lleva a cabo pruebas de penetración externas anuales y utiliza DAST SAST, SCA y DAST en toda su pila.
Pero la madurez en materia de seguridad no es algo estático.
«Uno de nuestros valores es 'Aspirar a la luna'. Para mí, eso incluye elevar el nivel de seguridad año tras año», afirma Kilian, ingeniero de operaciones de seguridad en TechWolf.
Con el tiempo, las pruebas de penetración manuales comenzaron a arrojar menos resultados evidentes. Eso era una buena señal. Aun así, el equipo sabía que, en un código base en crecimiento y evolución, los casos extremos más sutiles pueden seguir siendo difíciles de detectar en un plazo de tiempo determinado.
TechWolf quería ir un paso más allá.
«Aunque realizamos una prueba de penetración manual anual con un proveedor externo, encontramos menos problemas importantes y creímos que había más riesgos ocultos en el código base».
Añadir pentesting de IA ampliar el programa de seguridad.
TechWolf decidió probar pentesting de IA de Aikido pentesting de IA una extensión de su programa existente. La configuración fue sencilla, ya que su entorno ya estaba conectado dentro de Aikido.
«Tardé menos de 15 minutos en configurarlo. En pocas horas, los agentes ya habían encontrado algo interesante».
A diferencia de un compromiso tradicional limitado por el tiempo y el alcance, los agentes de IA pudieron analizar directamente el contexto del código fuente, explorar casos extremos y generar rutas de ataque reproducibles.
«Creo que la eficacia reside en que las pruebas de penetración LLM de Aikido utilizan mucho más contexto del que podría utilizar un pentester manual, concretamente mediante el análisis del código fuente».
Para TechWolf, no se trataba de sustituir las pruebas manuales, sino de complementarlas.
«Ambos enfoques tienen su lugar. pentesting de IA persistencia y profundidad, especialmente en áreas que son más difíciles de alcanzar en un compromiso con plazos limitados».
Lo que reveló la prueba de penetración de IA
Durante la prueba, la prueba de penetración de IA de Aikido identificó una vulnerabilidad compleja arraigada en la lógica de la aplicación.
No se trataba de una configuración errónea superficial ni de un simple control omitido. Era necesario comprender cómo interactuaban componentes específicos en diferentes partes del código base.
«Nos impresionó la profundidad», dijo Kilian. «No se trataba de encontrar algo básico. Se trataba de explorar partes de la aplicación que, por naturaleza, son más difíciles de alcanzar».
Los agentes de IA generaron un análisis detallado del ataque junto con un script de prueba de concepto, lo que permitió al equipo verificar y reproducir el problema rápidamente.
«Los scripts PoC fueron cruciales», afirmó Kilian. «Eliminan las dudas, reducen los falsos positivos y facilitan a los ingenieros la comprensión exacta de lo que hay que arreglar».
Para TechWolf, esto validó la decisión de ampliar su estrategia de pruebas. Las pruebas de penetración manuales siguen siendo un pilar importante de su programa. pentesting de IA una capa de exploración sensible al contexto que refuerza la cobertura general.
Más allá de las pruebas de penetración: consolidación de la seguridad en una sola plataforma
Si bien la prueba de penetración con IA proporcionó un valor inmediato, el impacto más amplio provino del uso de Aikido como gestión de vulnerabilidades central gestión de vulnerabilidades .
«Ya utilizamos herramientas de seguridad estándar como SAST, SCA, DAST y pruebas de penetración tradicionales», afirmó Kilian. «Sin embargo, estas suelen estar aisladas, lo que dificulta establecer prioridades a partir de diversos hallazgos aislados».
Aikido consolida los hallazgos de todas las herramientas, incluidos los resultados de las pruebas de penetración, y los prioriza automáticamente mediante su función AutoTriage.
«El valor clave de Aikido es garantizar que centremos nuestros esfuerzos primero en los problemas más críticos mediante su función AutoTriage, al tiempo que realizamos un seguimiento de todos los demás hallazgos».
Ahora la seguridad se aplica directamente en el flujo de trabajo de desarrollo. Las solicitudes de extracción no se pueden fusionar mientras sigan existiendo vulnerabilidades sin resolver, lo que evita que los problemas lleguen a la fase de producción.
Resultados
Con el tiempo, las mejoras operativas se hicieron evidentes.
Antes de Aikido, Kilian dedicaba mucho tiempo a consolidar los resultados obtenidos con diferentes herramientas, preparar la documentación de auditoría y priorizar manualmente las vulnerabilidades.
Ahora, las vulnerabilidades se priorizan automáticamente y se asignan a los equipos pertinentes.
«La mejora cuantificable más significativa es la reducción del tiempo dedicado a las operaciones de seguridad manuales», afirmó Kilian.
Mejoras cuantificables
.png)
Veredicto final
Para TechWolf, adoptar pentesting de IA no pentesting de IA sustituir los controles o socios existentes. Se trataba de seguir elevando el listón.
«Para nosotros, se trata de subir el listón continuamente», afirmó Kilian.
«El aikido nos ayuda a mantenernos proactivos, priorizar los asuntos importantes y dedicar menos tiempo a las tareas administrativas».
Al combinar pruebas de penetración manuales anuales con pruebas de IA sensibles al contexto y gestión de vulnerabilidades centralizada gestión de vulnerabilidades, TechWolf ha reforzado un programa de seguridad ya maduro, añadiendo profundidad, visibilidad y eficiencia sin alterar los procesos existentes.
