Nova geração de Pentest com IA: como a HackerSec quer redefinir os testes ofensivos
A HackerSec, empresa especializada em cibersegurança ofensiva, anunciou uma atualização profunda em sua plataforma de testes de intrusão, introduzindo um conceito que promete mudar a forma como pentests são realizados: o modelo Pentest AI-Native. Nesse formato, um agente de inteligência artificial assume praticamente todo o ciclo do teste ofensivo – do reconhecimento inicial à produção de evidências – enquanto a equipe humana passa a atuar como supervisora e responsável pela validação técnica dos achados.
Em vez do fluxo tradicional, em que analistas conduzem manualmente as etapas do pentest, o agente de IA executa reconhecimento, enumeração de ativos, validações, exploração de vulnerabilidades, análise de impacto e organização de provas. O papel dos especialistas passa a ser o de monitorar a operação em tempo real, revisar cada vulnerabilidade identificada e assegurar que os achados sejam tecnicamente sólidos, relevantes e coerentes com o contexto de negócio.
Esse movimento não surge por acaso. O cenário ofensivo mudou radicalmente: grupos criminosos já utilizam agentes de IA para automatizar mapeamento de alvos, descoberta de brechas e execução de campanhas maliciosas em larga escala. Paralelamente, empresas aceleram a adoção de ferramentas baseadas em IA, o que resulta em mais código em produção, mais integrações, mais experimentos e, inevitavelmente, uma superfície de ataque muito maior e em constante transformação. Pentests conduzidos apenas de forma pontual e manual já não acompanham a velocidade com que novos riscos aparecem.
No modelo AI-Native proposto pela HackerSec, a inteligência artificial recebe o escopo do teste, analisa o ambiente alvo, interpreta as respostas obtidas dos sistemas e ajusta sua estratégia continuamente. O agente é capaz de formular hipóteses, comparar caminhos de exploração, descartar falsos positivos e priorizar vetores com maior probabilidade de sucesso. Ele mantém o contexto de toda a operação do início ao fim, o que permite encadear diferentes técnicas de ataque e verificar, na prática, se uma vulnerabilidade é realmente explorável – e não apenas teórica.
Essa abordagem abre espaço para pentests mais completos, contínuos e com menor dependência de esforço manual repetitivo. Em vez de concentrar toda a inteligência na cabeça de poucos especialistas, a operação passa a contar com um núcleo automatizado que trabalha em ritmo constante, enquanto a equipe humana foca em análise profunda, tratamento de exceções, compreensão de impacto de negócio e priorização de correções.
No coração da plataforma está a Yaga, agente de pentest criado do zero pela HackerSec. Diferente de soluções que simplesmente acoplam um único modelo de linguagem a ferramentas de segurança já existentes, a Yaga utiliza um harness proprietário que orquestra várias camadas: ferramentas tradicionais de segurança, playbooks ofensivos, múltiplas etapas de análise e diferentes modelos de IA atuando em conjunto durante a mesma execução.
Em vez de depender da visão limitada de um único modelo, a Yaga combina capacidades distintas para:
– interpretar o contexto do alvo (arquitetura, tecnologias, exposição);
– escolher as técnicas ofensivas adequadas a cada cenário;
– conduzir ataques autorizados passo a passo;
– validar tecnicamente os resultados, filtrando ruído e falsos positivos.
Os resultados dessa arquitetura multimodelo aparecem no YagaBench, o benchmark interno da solução. Na configuração de produção, em que quatro modelos distintos operam de forma combinada, a plataforma alcançou 91,2% de efetividade em cenários black box, 94,6% em gray box e 93,5% em white box. Esses números indicam uma alta capacidade de identificar e comprovar vulnerabilidades em diferentes níveis de conhecimento prévio sobre o ambiente testado.
Mais do que demonstrar a força dos modelos individuais, o benchmark reforça que o diferencial da plataforma está na camada de orquestração ofensiva criada pela HackerSec. É essa “cola” proprietária que coordena os modelos, define prioridades, seleciona ferramentas e garante que toda a operação mantenha coerência, profundidade técnica e foco em resultados úteis para o time de segurança da empresa contratante.
Segundo o CEO da HackerSec, Andrew Martinez, a ambição é ainda maior: a meta da companhia é atingir, até o fim do ano, mais de 98% de efetividade em todos os pentests executados no modelo AI-Native com a Yaga. Esse patamar, se consolidado, aproximaria bastante a IA da performance de equipes altamente especializadas, com a vantagem adicional de operar em escala, de forma repetível e com menor impacto de variações individuais de habilidade.
A necessidade de automação avançada fica ainda mais evidente quando se observa como os ambientes corporativos evoluíram. Arquiteturas em nuvem, microsserviços, APIs expostas, integrações com terceiros e aplicações de IA generativa mudam com frequência semanal – às vezes diária. Nesse contexto, depender apenas de pentests anuais ou semestrais, com longos ciclos e alta carga manual, abre janelas de exposição significativas. Uma vulnerabilidade crítica pode surgir e ser explorada muito antes da próxima rodada de testes tradicional.
O conceito de pentest AI-Native se propõe a encurtar esse intervalo. Com um agente de IA constantemente disponível, as empresas podem realizar testes ofensivos com maior cadência, integrar verificações ao pipeline de desenvolvimento e disparar varreduras específicas sempre que há uma mudança relevante no ambiente, como o lançamento de uma nova funcionalidade ou a exposição de um novo endpoint. A redução do tempo entre o surgimento de uma falha e sua identificação passa a ser um fator estratégico de defesa.
Outro ponto importante é o impacto na rotina das equipes de segurança. Em muitos casos, analistas experientes gastam boa parte do tempo em tarefas repetitivas: varrer portas, rodar ferramentas, revisar falsos positivos, organizar relatórios. Com um agente ofensivo de IA assumindo esses processos de base, os profissionais podem se dedicar àquilo que a máquina ainda não faz bem: entender o contexto regulatório, alinhar riscos com as áreas de negócio, apoiar decisões de priorização, negociar janelas de correção e participar do desenho de arquiteturas mais resilientes.
Do ponto de vista de maturidade em segurança, plataformas AI-Native também podem ajudar empresas menores ou em fase inicial, que muitas vezes não têm acesso a grandes times ofensivos. Ao contratar um serviço que encapsula um agente como a Yaga, essas organizações passam a contar com uma capacidade ofensiva estruturada, supervisionada por especialistas, mas com custo e tempo de resposta mais previsíveis do que montar e reter uma equipe própria completa de pentesters.
Naturalmente, esse tipo de tecnologia traz desafios e exige governança. É fundamental que os pentests automatizados sejam sempre autorizados, controlados por escopo claro e executados dentro de limites técnicos e legais. A orquestração precisa garantir que as técnicas usadas não provoquem indisponibilidades indevidas, nem afetem dados sensíveis além do necessário para comprovar as vulnerabilidades. A presença de especialistas humanos na supervisão e validação é justamente o mecanismo que mitiga esses riscos e mantém a operação alinhada às melhores práticas éticas.
Outro aspecto crítico é a proteção da própria plataforma de IA. Sistemas ofensivos avançados podem se tornar alvos de espionagem ou abuso caso sejam comprometidos. Por isso, soluções como a da HackerSec precisam ser construídas com forte foco em segurança interna: isolamento de ambientes, controle de acesso rigoroso, monitoramento contínuo e mecanismos que evitem que o agente seja desviado para usos maliciosos fora do contexto autorizado de pentest.
Para empresas interessadas em adotar um modelo de pentest AI-Native, alguns passos são recomendáveis. Primeiro, revisar sua política de testes de segurança, definindo claramente objetivos, escopos, periodicidade e critérios de sucesso. Em seguida, avaliar como integrar a plataforma ao ciclo de desenvolvimento de software (CI/CD), para que os testes ofensivos possam ser disparados em momentos-chave, como antes de grandes releases ou após mudanças estruturais na infraestrutura.
É igualmente importante preparar as equipes internas – de desenvolvimento, operações e segurança – para lidar com um fluxo maior de achados, que tende a ser consequência de testes mais frequentes e profundos. Isso implica priorização baseada em risco, automação de correções sempre que possível e alinhamento com a liderança sobre o que deve ser tratado primeiro, considerando impacto em negócio, compliance e exposição reputacional.
O avanço de soluções como a Yaga sinaliza uma tendência mais ampla: a convergência entre inteligência artificial e segurança ofensiva. Em um futuro próximo, é provável que boa parte dos testes, tanto defensivos quanto ofensivos, seja conduzida por agentes autônomos, enquanto o papel humano se concentra na supervisão estratégica, na interpretação dos resultados e nas decisões de risco. Nesse contexto, quem começar a experimentar modelos AI-Native desde já tende a chegar mais preparado a essa nova fase da cibersegurança.
Em última análise, a atualização da plataforma de pentest da HackerSec mostra que a indústria está se movendo para responder à mesma força que a desafia: a própria inteligência artificial. Se criminosos já se beneficiam dela para aumentar o alcance de seus ataques, usar IA de forma estruturada, controlada e ética na defesa – e nos testes ofensivos autorizados – deixa de ser apenas uma opção inovadora e passa a ser uma necessidade para reduzir a assimetria entre ataque e proteção.