Pentest ofensiv cu AI — findings în care ai încredere.

Testarea de securitate nu ține pasul — și a apărut o suprafață de atac complet nouă.

Trei presiuni simultane fac ca modelul clasic de pentest să nu mai scaleze.

Context de reglementare. NIS2, DORA, CRA (Cyber Resilience Act) și EU AI Act transformă testarea de securitate dintr-o opțiune într-o obligație periodică și auditabilă. Cine oferă rezultate verificate și trasabile, on-premises când e nevoie, câștigă piața reglementată.

O platformă, două componente, două modele de livrare.

Un plan de control (API, multi-tenant, facturare, rapoarte) și un motor de scanare și verificare. Ambele livrate ca SaaS pe scanope.com sau ca stack on-premises, din același set de imagini.

Cele 11 tipuri de audit — dispecerizate în motor

Fără „fallback tăcut”. Fiecare tip are un validator propriu care verifică forma țintei (URL / IP-CIDR / repo git / referință OCI) înainte de dispatch — un tip necunoscut e respins curat, nu ajunge din greșeală un site-audit. Peste 50 de module de scanare, în mare parte proprii, cu foarte puține dependențe externe.

Findings în care ai încredere — verificate, nu doar detectate.

Aici stă valoarea reală. Fiecare vulnerabilitate trece printr-un proces de verificare independentă înainte să ajungă în raport, iar rezultatul iese cu verdict clar, nivel de încredere și probabilitate de fals-pozitiv — și prioritizat după exploatabilitatea reală. Raportul conține ce e real, nu un dump de alerte neverificate.

flowchart LR
  A["Finding brut"] --> B["Verificare independentă"]
  B --> C{"Verdict"}
  C -->|"confirmat"| D["Raport: verdict + încredere<br/>+ probabilitate fals-pozitiv"]
  C -->|"plauzibil"| D
  C -->|"infirmat"| E["Eliminat din raport"]
  classDef n fill:#dbeafe,stroke:#3b82f6,color:#1e3a8a
  classDef good fill:#dcfce7,stroke:#16a34a,color:#14532d
  classDef bad fill:#fee2e2,stroke:#ef4444,color:#7f1d1d
  classDef dec fill:#fef9c3,stroke:#ca8a04,color:#713f12
  class A,B n
  class C dec
  class D good
  class E bad

Cinci agenți specializați, într-o mașină de stări deterministă.

Nu o buclă autonomă care hoinărește. O mașină de stări formală care impune tranziții legale de fază, cu cinci agenți care își predau rezultate tipizate de la unul la altul — predictibil și auditabil.

flowchart LR
  R["① RECON<br/>suprafață de atac"] --> C["② CLASSIFY<br/>findings clasificate"]
  C --> P["③ PLAN<br/>plan de atac"]
  P --> E["④ EXECUTE<br/>gated de scope"]
  E --> V["⑤ VERIFY<br/>verdicte"]
  V --> Rep["⑥ REPORT<br/>raport final"]
  classDef s fill:#e0e7ff,stroke:#6366f1,color:#312e81
  class R,C,P,E,V,Rep s

Cinci porți impuse la runtime, nu în documentație.

Bucla ofensivă e condusă de modele, dar fiecare comandă pe care agentul vrea s-o ruleze trece prin porți hard-stop la execuție. Controlul e up-front prin politică — scope, allow-list de tool-uri, dry-run — plus 2FA la planul de control.

Suveranitatea modelelor. Configurația livrată implicit rulează un model complet local (endpoint intern, fără cheie externă). Provider-ul se schimbă doar din configurare — model local sau serviciu OpenAI-compatibil — fără modificări în platformă. Datele clientului nu părăsesc infrastructura.

O categorie nouă: securitatea configurațiilor de asistenți AI.

Pe măsură ce echipele adoptă asistenți AI, fișierele lor de configurare devin cod executabil de facto — și un vector de supply-chain. ARTEMIS le tratează ca atare.

De la scanare la verdict la raport — fiecare pas e demonstrabil.

Pentru cumpărătorii reglementați, ăsta e diferențiatorul. Fiecare finding păstrează tool-ul, comanda exactă, output-ul brut, timestamp-ul și executorul ca dovadă structurată — după ce secretele au fost redactate, înainte de stocare.

• ✓ Evidență completă — comandă + output brut + request/response HTTP capturate pe fiecare finding.
• ✓ Verdict + încredere + probabilitate de fals-pozitiv — persistate cu fiecare finding, expuse de API.
• ✓ Rapoarte bilingve RO/EN — PDF + DOCX, versionate, cu snapshot de branding.
• ✓ Acces controlat — token de descărcare hash-uit, expiră (implicit 14 zile), plafon de descărcări.
• ✓ Audit-log administrativ — cine, ce acțiune, valoare veche/nouă, IP, user-agent, timestamp.
• ✓ Export STIX — interoperabilitate cu SIEM / threat-intel extern.

SaaS, on-premises sau air-gapped — din același build.

Un stack de patru containere (edge TLS → plan de control → motor → bază de date), împachetat în două feluri. Clientul reglementat rulează ARTEMIS în propria infrastructură, complet izolat. Se adaugă un agent nativ care scanează din interiorul rețelei, printr-o conexiune securizată cu token per-agent.

flowchart TB
  Q{"Cât de sensibile<br/>sunt datele?"}
  Q -->|"standard"| SAAS["SaaS · scanope.com<br/>platformă + AI în cloud CAI"]
  Q -->|"mixt"| HYB["Hibrid<br/>date & modele la client"]
  Q -->|"reglementat / izolat"| ONP["On-premises / air-gapped<br/>tot stack-ul + AI local"]
  classDef q fill:#fef9c3,stroke:#ca8a04,color:#713f12
  classDef a fill:#dbeafe,stroke:#3b82f6,color:#1e3a8a
  class Q q
  class SAAS,HYB,ONP a

Întrebări frecvente