Агенти та експлойти: Хакінг OWASP VWAD

Великі мовні моделі швидко еволюціонували від чат-інтерфейсів до автономних агентів, здатних взаємодіяти з реальними системами. У цьому практичному семінарі учасники створять AI-інструмент безпеки з нуля та дізнаються основні принципи агентивного пенетраційного тестування за допомогою навмисно вразливих додатків OWASP. Замість того, щоб просто запитувати LLM, учасники досліджуватимуть, як обладнати агента практичними можливостями - включаючи доступ до оболонки, доступ до браузера та оркестрацію для виявлення, експлуатації та документування вразливостей в одному з перелічених вразливих додатків в Довіднику вразливих веб-додатків OWASP (VWAD). По дорозі ми обговоримо архітектуру ефективних агентів безпеки, інтеграцію інструментів, пам'ять і безпечні практики виконання. Семінар також вводить ітераційний робочий процес оцінки. Учасники проаналізують вразливості, які агент не зміг виявити, порівняють результати з відомими знахідками та використають ці прогалини, щоб уточнити запити, вибір інструментів, робочі процеси та критерії оцінки. Цей ітераційний підхід демонструє, як сучасні AI-агенти безпеки можуть постійно покращувати свою ефективність через систематичне тестування та зворотний зв'язок, а не покладаючись на одноразове виконання. До кінця сесії учасники створять функціонального AI-агента безпеки, зрозуміють основи інструментів агентів і оркестрації й отримають практичні техніки оцінки та покращення застосувань тестування безпеки за допомогою AI.