AI-gestützter Pentest mit Erebus Strike – intelligente Analyse

Was zeichnet den AI-gestützten Pentest von SySS aus?

Bei unserem AI-gestützten Pentest mit Erebus Strike arbeiten agentische Automatisierung und menschliche IT-Security-Expertise eng zusammen. Unsere Consultants geben dem Agenten fachliches Wissen, bewährte Methoden und projektspezifische Rahmenbedingungen vor. Ein Orchestrator koordiniert spezialisierte Subagenten, verarbeitet deren Rückmeldungen und leitet daraus weitere Prüfschritte ab.

Der Ansatz verbindet dabei mehrere Ebenen:

• Der Consultant definiert Vorgehen, Anforderungen und Grenzen des Tests.
• Der Agent verarbeitet technische Informationen und trifft darauf aufbauend weitere Prüfentscheidungen.
• Sämtliche Aktivitäten lassen sich über ausgeführte Kommandos, Parameter und Protokolle nachvollziehen.

Der Pentest bleibt damit fachlich gesteuert und in den jeweiligen Projektkontext eingebettet. Das ist relevant, weil Sprachmodelle Geschäftslogik, Risikotoleranz oder interne Architekturentscheidungen nicht automatisch berücksichtigen. Wir kombinieren daher die analytischen Fähigkeiten der AI mit der Erfahrung unserer Consultants.

Wie erweitert AI die Analyse im Penetrationstest?

AI kann technische Informationen in hoher Geschwindigkeit verarbeiten und dadurch zusätzliche Perspektiven für die Sicherheitsanalyse erschließen. Ein Penetrationstest profitiert insbesondere davon, wenn umfangreiche Datenbestände, Quellcode oder komplexe Zusammenhänge in die Prüfung einfließen. Der Agent kann daraus Hypothesen ableiten und sicherheitsrelevante Strukturen für weitere Untersuchungen identifizieren.

Zu den möglichen Analyseleistungen gehören:

• Prüfen von großen Mengen an Quellcode und Erfassen technischer Zusammenhänge
• Entwickeln von Angriffshypothesen auf Basis der vorhandenen Informationen
• Untersuchen sicherheitsrelevanter Codepfade wie Authentifizierungsroutinen oder Eingabeverarbeitung
• weitergehendes Analysieren möglicher Schwachstellen und daraus entstehender Angriffspfade
• Testen zahlreicher unterschiedlicher Endpunkte sowie diverser Arten von Zugriffsverfahren

Besonders geeignet sind AI-gestützte Penetrationstests für Webapplikationen und andere softwaregetriebene Systeme. Auch Softwareanalysen, Reverse Engineering und Firmware-Analysen können von diesen Möglichkeiten profitieren.

1. Scoping und Testkontext festlegen

Zu Beginn stimmen unsere Consultants den Prüfumfang und die relevanten Rahmenbedingungen mit Ihnen ab. Testumgebung, Benutzerrollen und individuelle Anforderungen fließen anschließend in die Konfiguration des Agenten ein.

3. Schwachstellen prüfen und verifizieren

Entstehende Schwachstellenkandidaten werden technisch untersucht und abhängig von ihrer Kritikalität mehrfach verifiziert. Widerlegte Befunde werden verworfen, während bestätigte Funde mit nachvollziehbaren Reproduktionsschritten dokumentiert werden.

2. Discovery und Angriffspfade analysieren

Anschließend verschafft sich der Agent einen Überblick über die Anwendung und ihre Angriffsfläche. Im AI-driven Pentest wertet er Rückmeldungen spezialisierter Subagenten aus und plant darauf basierend weitere Testschritte.

4. Funde fachlich bewerten und berichten

Unsere IT Security Consultants prüfen die bestätigten Befunde nochmals im jeweiligen Projektkontext. Sie bewerten deren tatsächliche Relevanz und überführen belastbare Ergebnisse in einen qualitätsgesicherten Report mit passenden Handlungsempfehlungen.

Welche Informationen braucht ein AI-gestützter Pentest?

Der Agent benötigt belastbare Informationen zum Testgegenstand und zum genauen Anwendungskontext. Neben den organisatorischen Rahmenbedingungen können technische Unterlagen die Analyse zusätzlich unterstützen. Besonders wertvoll ist Quellcode, da große Codebasen in kurzer Zeit ausgewertet und für die Bildung weiterer Angriffshypothesen herangezogen werden können.

Je nach Projekt können Sie unter anderem folgende Informationen bereitstellen:

• Quellcode sowie technische Anwendungsdokumentationen
• API-Dokumentationen mit relevanten Endpunkten und Funktionen
• vorhandene Pentest-Berichte oder Architekturunterlagen
• Threat Models und Informationen zu projektspezifischen Risiken
• Zugangsdaten für unterschiedliche Benutzerrollen

Auch besondere Prüfschwerpunkte lassen sich berücksichtigen, etwa neue Funktionen oder bislang nicht untersuchte Bereiche. Welche Unterlagen für Ihren AI-gestützten Pentest mit Erebus Strike einen fachlichen Mehrwert bieten, stimmen unsere Consultants mit Ihnen im Vorfeld ab.

Modelle und Back-Ends passend zum AI-gestützten Penetrationstest

Bei AI-gestützten Penetrationstests lässt sich die technische Grundlage an unterschiedliche Projektanforderungen anpassen. Wir können dafür auf verschiedene Modelle und Back-Ends zurückgreifen. Die Auswahl wird unter anderem davon beeinflusst, welche Leistungsfähigkeit benötigt wird und welche Anforderungen an die Verarbeitung der Projektdaten bestehen. 

Je nach Rahmenbedingungen stehen unterschiedliche Möglichkeiten zur Verfügung:

• Open-Weight-Modelle auf der eigenen SySS-Infrastruktur in Tübingen
• größere Modelle über Rechenzentren innerhalb der Europäischen Union
• Third-Party-Provider wie Anthropic oder OpenAI
• unterschiedliche Modelle für einzelne Phasen des Prüfprozesses

Innerhalb eines Projekts muss nicht durchgehend dasselbe Modell eingesetzt werden. Discovery und Verifikation können beispielsweise unterschiedliche Anforderungen an das jeweilige Back-End stellen. Zusätzlich lässt sich konfigurieren, wie häufig ein Testdurchlauf erfolgen soll.

Netzwerk-Penetrationstest

Ein gut abgeschottetes Netz entscheidet darüber, wir weit ein Angreifer im Ernstfall kommt. Ein Netzwerk-Penetrationstest analysiert Ihre LAN-Infrastruktur samt Segmentierung, Diensten und Vertrauensstellungen – und liefert Ihnen eine klare Priorisierung für Maßnahmen.

Hardware-Pentest

Im Bereich Embedded Security prüfen wir eingebettete Systeme über mehrere technische Ebenen hinweg auf Sicherheitsschwachstellen. Die Analyse kann Hardware und Firmware ebenso einbeziehen wie Kommunikationsschnittstellen und angebundene Back-End-Systeme.

OT-Pentest

Wo Produktion und IT zusammenwachsen, entstehen Angriffswege, die klassische Tests nicht erfassen. Ein OT-Pentest prüft Steuerungs- und Produktionsumgebungen ganzheitlich und zeigt, wie sich Angreifer über vernetzte Komponenten bis in kritische Prozesse bewegen können.

Penetrationstests von AI-Systemen

Bei Penetrationstests von AI-Systemen steht die Sicherheit Ihrer AI-Anwendung selbst im Fokus. Wir untersuchen unter anderem modellspezifische Angriffsvektoren und mögliche Informationsabflüsse sowie die Sicherheitsmechanismen relevanter Schnittstellen.

Seit 1998 steht SySS für professionelle Penetrationstests und IT-Security-Expertise im DACH-Raum. Unsere Consultants arbeiten herstellerneutral und profitieren von der engen Zusammenarbeit mit unserer eigenen R&D-Abteilung. Etablierte Qualitätsprozesse und anerkannte Zertifizierungen schaffen dabei einen verlässlichen Rahmen für hochwertige Sicherheitsprüfungen.

Mit einem AI-gestützten Pentest mit Erebus Strike erweitern Sie Ihre Sicherheitsanalyse um moderne analytische Möglichkeiten, die in einen fachlich begleiteten Prüfprozess eingebettet sind. Unsere IT-Experten stimmen das Vorgehen auf Ihren Testgegenstand ab, ordnen die Ergebnisse ein und unterstützen Sie dabei, daraus belastbare nächste Schritte für Ihre IT-Sicherheit abzuleiten.