HackerSec apresenta Pentest Superintelligence, nova etapa dos testes de invasão com IA
A inteligência artificial está mudando a maneira como empresas identificam e corrigem falhas de segurança. Nesse cenário, a HackerSec anunciou o Pentest Superintelligence, um modelo que combina diferentes sistemas avançados de IA em uma mesma operação de teste de invasão. A proposta amplia as abordagens anteriores da companhia, chamadas Pentest AI-First e Pentest AI-Native, ao colocar a orquestração de múltiplos modelos no centro do processo.
No formato AI-First, a inteligência artificial conduz a etapa inicial da análise, enquanto profissionais especializados aprofundam os testes. Já no AI-Native, agentes autônomos podem executar um pentest de ponta a ponta. O conceito de Superintelligence acrescenta uma camada: diferentes modelos de fronteira são coordenados durante a mesma operação, com tarefas distribuídas conforme as capacidades de cada um.
Pelo critério definido pela HackerSec, não basta usar IA em um teste, alternar entre ferramentas ou executar vários agentes de maneira independente. Para caracterizar o Pentest Superintelligence, a operação deve contar com ao menos dois modelos de alta capacidade integrados a um ambiente proprietário de execução, ou runtime. Essa infraestrutura precisa permitir que os sistemas compartilhem descobertas, mantenham o contexto e ajustem as estratégias ao longo do trabalho.
A empresa afirma ter desenvolvido essa arquitetura na Yaga, seu agente autônomo de pentest. Por meio de um harness próprio, a ferramenta coordena modelos de empresas como OpenAI, Anthropic e xAI. Cada sistema pode ser direcionado a determinadas etapas, enquanto a Yaga mantém a continuidade da atividade, do reconhecimento inicial à exploração de vulnerabilidades e à demonstração de seus possíveis impactos.
Os testes, segundo a HackerSec, são realizados dentro de escopos autorizados e contam com controles operacionais. Especialistas humanos acompanham o processo e são responsáveis por validar tecnicamente os resultados. A combinação entre automação e supervisão busca aproveitar o alcance dos agentes sem dispensar a análise profissional das evidências obtidas.
A companhia também divulgou resultados do YagaBench, benchmark interno usado para avaliar a ferramenta. De acordo com os números apresentados, a Yaga alcançou 98% de resolução em cenários black box ao operar com seis modelos coordenados. O melhor desempenho de um modelo isolado no mesmo conjunto de testes foi de 40,5%. Os índices se referem à avaliação realizada pela própria empresa e indicam o resultado observado nesses cenários específicos.
A comparação sugere que o desempenho de um teste automatizado pode depender não apenas da capacidade individual de cada modelo, mas também da arquitetura que organiza sua atuação. Coordenar sistemas diferentes pode ajudar a distribuir etapas, preservar informações relevantes e conectar descobertas que, analisadas separadamente, talvez não revelassem uma cadeia de exploração.
Na prática, a orquestração pode tornar o processo mais adaptável. Um modelo pode ser aplicado ao reconhecimento de um ambiente, enquanto outro analisa uma aplicação ou investiga uma hipótese de falha. As conclusões precisam ser integradas para orientar as etapas seguintes, evitando que o agente perca o contexto entre uma atividade e outra.
Essa abordagem é especialmente relevante em ambientes corporativos complexos, nos quais aplicações, serviços e configurações mudam com frequência. Um pentest mais automatizado e recorrente pode ajudar a identificar problemas entre avaliações periódicas tradicionais. Ainda assim, a automação não elimina a necessidade de definir limites claros, obter autorização e avaliar cuidadosamente os riscos de qualquer teste ofensivo.
Também é importante distinguir a identificação de uma possível vulnerabilidade da comprovação de seu impacto. Uma ferramenta pode apontar uma falha, mas a validação técnica é necessária para verificar se ela é reproduzível e qual consequência poderia ter para a organização. A supervisão humana descrita pela HackerSec ocupa um papel importante justamente nessa etapa.
Para as empresas que avaliam soluções de segurança baseadas em IA, a novidade muda o foco da comparação. A simples presença de inteligência artificial já não é suficiente para demonstrar capacidade. Passam a importar aspectos como a coordenação entre modelos, a preservação do contexto, a qualidade das evidências, os controles de execução e a possibilidade de revisar os resultados.
A evolução apresentada pela HackerSec pode ser resumida em três etapas: primeiro, a IA assume uma posição central no início do pentest; depois, agentes autônomos passam a executar o processo de ponta a ponta; por fim, diferentes modelos são coordenados por uma infraestrutura própria. Segundo a empresa, o Pentest Superintelligence representa essa terceira fase e busca ampliar a profundidade dos testes sem abrir mão da validação especializada.
À medida que aplicações e ameaças continuam evoluindo, testar a segurança com maior frequência tende a ganhar importância. A orquestração de modelos pode contribuir para ampliar a cobertura das análises, mas seus resultados devem ser avaliados com critérios claros, considerando o contexto de cada ambiente e a confiabilidade das evidências. O diferencial não está apenas em automatizar o pentest, mas em transformar as descobertas em informações verificáveis e úteis para reduzir riscos.