En un coup d'œil
- Tests d'intrusion manuels annuels augmentés grâce à des tests en boîte blanche basés sur l'IA
- Identification d'une vulnérabilité complexe et marginale grâce à une exploration contextuelle
- Intégration pentest IA gestion des vulnérabilités continue gestion des vulnérabilités
- Réduction rapports de sécurité manuels rapports de sécurité plusieurs jours par mois à quelques heures
- Sécurité renforcée directement dans les workflows des pull requests
Enjeu
TechWolf développe une couche de données basée sur l'IA qui aide les entreprises à comprendre les emplois, les tâches et les compétences à mesure qu'elles évoluent vers la transformation de leur main-d'œuvre. Travailler dans le domaine des technologies RH implique de traiter des informations commerciales et personnelles sensibles. La sécurité n'est pas une fonctionnalité. C'est une condition préalable.
TechWolf investit depuis longtemps dans sa stratégie de sécurité. L'entreprise est certifiée ISO 27001, passe chaque année des audits SOC 2, effectue des tests de pénétration externes annuels et utilise DAST SAST, SCA et DAST sur l'ensemble de sa pile.
Mais la maturité en matière de sécurité n'est pas statique.
« L'une de nos valeurs est « Viser la lune ». Pour moi, cela implique notamment de relever le niveau de sécurité année après année », a déclaré Kilian, ingénieur des opérations de sécurité chez TechWolf.
Au fil du temps, les tests d'intrusion manuels ont commencé à donner moins de résultats évidents. C'était bon signe. Cependant, l'équipe savait que dans une base de code en pleine croissance et en constante évolution, les cas limites nuancés peuvent rester difficiles à détecter dans le cadre d'une mission à durée déterminée.
TechWolf voulait aller encore plus loin.
« Bien que nous réalisions chaque année un test de pénétration manuel avec un prestataire externe, nous avons détecté moins de problèmes majeurs et avons estimé que des risques plus importants se cachaient plus profondément dans le code source. »
Ajouter pentest IA étendre le programme de sécurité
TechWolf a décidé de tester pentest IA Aikido pentest IA extension de son programme existant. La configuration a été simple, car leur environnement était déjà connecté à Aikido.
« J'ai passé moins de 15 minutes à configurer le système. En quelques heures, les agents avaient déjà trouvé quelque chose d'intéressant. »
Contrairement à une intervention traditionnelle limitée par le temps et la portée, les agents IA ont pu analyser directement le contexte du code source, explorer les cas limites et générer des chemins d'attaque reproductibles.
« Je pense que l'efficacité réside dans le fait que les tests d'intrusion LLM Aikidoexploitent beaucoup plus de contexte qu'un testeur manuel ne pourrait jamais le faire, notamment en analysant le code source. »
Pour TechWolf, il ne s'agissait pas de remplacer les tests manuels, mais plutôt de les compléter.
« Les deux approches ont leur place. pentest IA persistance et profondeur, en particulier dans les domaines difficiles à atteindre dans le cadre d'une mission à durée limitée. »
Ce que le test d'intrusion IA a révélé
Au cours du procès, le test d'intrusion IAAikidoa identifié une vulnérabilité complexe ancrée dans la logique de l'application.
Il ne s'agissait pas d'une mauvaise configuration superficielle ou d'une simple vérification manquante. Il fallait comprendre comment des composants spécifiques interagissaient entre différentes parties du code source.
« Nous avons été impressionnés par la profondeur », a déclaré Kilian. « Il ne s'agissait pas de trouver quelque chose de basique. Il s'agissait d'explorer des parties de l'application qui sont naturellement plus difficiles à atteindre. »
Les agents IA ont généré une analyse détaillée de l'attaque ainsi qu'un script de validation de concept, permettant à l'équipe de vérifier et de reproduire rapidement le problème.
« Les scripts PoC ont joué un rôle crucial », a déclaré Kilian. « Ils éliminent les doutes, réduisent les faux positifs et permettent aux ingénieurs de comprendre plus facilement ce qui doit être corrigé. »
Pour TechWolf, cela a validé la décision d'étendre sa stratégie de test. Les tests d'intrusion manuels restent un pilier important de leur programme. pentest IA une couche d'exploration contextuelle qui renforce la couverture globale.
Au-delà du pentesting : consolider la sécurité sur une seule plateforme
Si le test d'intrusion IA a apporté une valeur ajoutée immédiate, l'impact plus large est venu de l'utilisation Aikido gestion des vulnérabilités centrale gestion des vulnérabilités
« Nous utilisons déjà des outils de sécurité standard tels que SAST, SCA, DAST et les tests de pénétration traditionnels », a déclaré Kilian. « Cependant, ceux-ci sont souvent isolés, ce qui rend difficile la hiérarchisation des différentes conclusions cloisonnées ».
Aikido les résultats de différents outils, y compris les résultats des tests d'intrusion, et les classe automatiquement par ordre de priorité grâce à sa fonctionnalité AutoTriage.
« La valeur cléAikidoest de nous permettre de concentrer nos efforts sur les problèmes les plus critiques en premier lieu grâce à sa fonctionnalité AutoTriage, tout en gardant une trace de toutes les autres découvertes. »
La sécurité est désormais appliquée directement dans le flux de travail de développement. Les demandes d'extraction ne peuvent pas être fusionnées tant que des vulnérabilités non résolues subsistent, ce qui empêche les problèmes d'atteindre la production.
Résultats
Au fil du temps, les améliorations opérationnelles sont devenues évidentes.
Avant de rejoindre Aikido, Kilian a passé beaucoup de temps à consolider les résultats obtenus à partir de différents outils, à préparer la documentation d'audit et à hiérarchiser manuellement les vulnérabilités.
Désormais, les vulnérabilités sont automatiquement classées par ordre de priorité et attribuées aux équipes concernées.
« L'amélioration mesurable la plus significative est la réduction du temps consacré aux opérations de sécurité manuelles », a déclaré Kilian.
Améliorations mesurables
.png)
Verdict final
Pour TechWolf, l'adoption pentest IA ne pentest IA pas à remplacer les contrôles ou les partenaires existants. Il s'agissait plutôt de continuer à placer la barre plus haut.
« Pour nous, il s'agit de placer la barre toujours plus haut », a déclaré Kilian.
«Aikido nousAikido à rester proactifs, à hiérarchiser les bonnes questions et à consacrer moins de temps aux frais généraux opérationnels. »
En combinant des tests d'intrusion manuels annuels avec des tests d'IA contextuels et gestion des vulnérabilités centralisée gestion des vulnérabilités, TechWolf a renforcé un programme de sécurité déjà mature, ajoutant profondeur, visibilité et efficacité sans perturber les processus existants.
