Um novo modelo de teste ofensivo começa a ganhar espaço no mercado: o pentest com IA. Grandes empresas de cibersegurança ofensiva estão desenvolvendo agentes capazes de executar partes cada vez maiores de um pentest e complementar o trabalho dos especialistas humanos. A tecnologia amplia a velocidade, a profundidade e a frequência dos testes, mas ainda é confundida com scan de vulnerabilidades, uma solução muito mais simples e superficial.
Scan apenas procura possíveis vulnerabilidades
O scan executa verificações previamente programadas para procurar versões desatualizadas, configurações inseguras e padrões associados a vulnerabilidades conhecidas. Ele repete payloads, compara respostas e gera alertas, muitas vezes sem compreender o funcionamento da aplicação ou confirmar se a falha pode ser realmente explorada. O resultado costuma ser uma lista extensa de possibilidades, incluindo falsos positivos e achados sem impacto relevante para o negócio.
Pentest com IA executa um ataque completo
Essa capacidade não surge apenas ao conectar um modelo de linguagem a algumas ferramentas e escrever prompts genéricos. Um pentest com IA exige uma arquitetura de agentes, memória, planejamento, controles de escopo, ferramentas ofensivas, critérios de validação e um harness próprio capaz de orientar o modelo durante toda a operação. Por isso, muitas soluções apresentadas como pentest com IA continuam sendo scanners com uma nova interface ou modelos genéricos executando ações isoladas. Poucas empresas construíram tecnologia ofensiva proprietária com capacidade real de descobrir, explorar e comprovar vulnerabilidades.
Poucas empresas oferecem Pentest com IA de verdade
A maioria das soluções apresentadas como pentest com IA ainda executa scans ou conecta modelos genéricos a ferramentas ofensivas por meio de prompts. Um pentest com IA real exige uma arquitetura completa de agentes especializados, ferramentas próprias, memória, planejamento, validação de evidências e um harness desenvolvido especificamente para conduzir o teste do início ao fim.
Poucas empresas no mundo oferecem essa tecnologia de verdade. No Brasil, somente a HackerSec desenvolveu essa capacidade com a Yaga, seu agente proprietário de pentest para aplicações web, APIs, mobile e outros ambientes. No mercado internacional, XBOW e Aikido Security também são reconhecidas nessa categoria, mas a amplitude técnica, a qualidade das entregas e as integrações da HackerSec já fazem profissionais do setor colocarem a empresa brasileira à frente da XBOW em critérios importantes, como tipos de ambientes suportados e resultados entregues.
