Un pentest agentico è un test di intrusione condotto da agenti di IA che perseguono un obiettivo definito — non si limitano a eseguire passi programmati. L'agente mantiene il contesto, formula ipotesi, concatena falle e cerca prove fino all'asset critico, sempre all'interno di uno scope approvato e sotto la direzione di uno specialista umano.
Il termine "autonomo" genera confusione perché descrive sia uno scanner che gira da solo sia un agente che decide cosa fare dopo. Sono cose diverse. Uno scanner esegue una batteria fissa di controlli e restituisce una lista. Un agente riceve una missione — l'asset che non può essere compromesso — e investiga le rotte che vi conducono, adattando il percorso man mano che osserva il target. Questo testo spiega cosa cambia nella pratica, quali fasi percorre un agente, come Berghem gestisce il modello e dove esso dipende ancora dal giudizio umano.
Che cos'è un pentest agentico?
Un pentest agentico è l'applicazione di agenti di IA — non un singolo prompt, ma un sistema che osserva, decide e agisce in ciclo — a un test di intrusione. La differenza centrale rispetto all'automazione tradizionale è l'agency: l'agente mantiene un obiettivo, seleziona strumenti, interpreta il risultato di ogni azione e riformula l'ipotesi successiva, invece di eseguire una sequenza preprogrammata di controlli.
Nella pratica, questo significa che l'agente preserva lo stato. Mantiene la stessa identità e sessione mentre attraversa un'applicazione web, una chiamata API e il ritorno al livello web; confronta le risposte tra profili utente; ricorda ciò che ha già testato; e correla segnali che, isolati, non significherebbero nulla. È questa memoria di lavoro lungo l'investigazione ad avvicinare il comportamento a quello di un professionista, e a distinguere un agente da un "web agent" generico che si limita a cliccare su una pagina.
Conviene separare due concetti spesso confusi. Fare pentest con agenti di IA — il tema di questo testo — significa usare gli agenti come strumento offensivo contro sistemi convenzionali. Fare pentest di sistemi di IA è l'opposto: testare la sicurezza degli agenti, dei modelli e delle pipeline di un'organizzazione, argomento che trattiamo in sicurezza degli agenti di IA. Entrambi si appoggiano alle stesse tecniche, ma risolvono problemi diversi.
Pentest agentico, scanner o pentest manuale: qual è la differenza?
La differenza sta in chi decide il passo successivo. Uno scanner segue uno script fisso e non concatena i risultati; un pentest manuale li concatena, ma è limitato dal tempo di una persona; un pentest agentico concatena con la portata di una macchina, mantenendo lo specialista come chi definisce la missione e valida il risultato. La tabella riassume gli assi che contano di più nella decisione.
| Criterio | Scanner automatizzato | Pentest manuale | Pentest agentico |
|---|---|---|---|
| Decide il passo successivo | Script fisso | Specialista | Agente, entro i limiti della missione |
| Concatena vulnerabilità | No | Sì | Sì |
| Mantiene identità e stato tra superfici | Raramente | Sì | Sì |
| Portata / copertura | Ampia, superficiale | Profonda, limitata dal tempo | Ampia e profonda |
| Contesto di business | Nessuno | Alto | Definito dallo specialista, eseguito dall'agente |
| Prova riproducibile | Parziale | Sì | Sì, con replay e log |
| Costo per ora di test | Basso | Alto | Intermedio |
Nessuno dei tre approcci sostituisce gli altri in ogni scenario. Uno scanner resta utile per l'igiene continua e la copertura a basso costo. Il pentest manuale resta insostituibile per la logica di business ambigua e per il giudizio finale. Il pentest agentico occupa lo spazio tra i due: dà allo specialista la portata per investigare molte più rotte di quante ne esplorerebbe a mano, senza rinunciare al concatenamento che uno scanner non produce mai.
Quali fasi percorre un agente in un'investigazione?
Un agente non improvvisa da zero: opera all'interno di un ciclo che va dalla definizione della missione alla consegna delle prove. Le fasi si ripetono e si retroalimentano — un'ipotesi confermata genera nuove ipotesi, una rotta bloccata porta a un'altra. Descriviamo il ciclo in sette fasi:
- Missione e limiti. Lo specialista definisce l'obiettivo, il crown jewel (l'asset critico), le superfici in scope, le azioni consentite e il criterio di arresto. Nulla inizia senza questo inquadramento.
- Ricognizione. L'agente enumera la superficie: endpoint, flussi di autenticazione, regole di business esposte, integrazioni e ciò che la sessione raggiunge effettivamente.
- Ipotesi. Da ciò che ha osservato, l'agente formula e prioritizza ipotesi di attacco — quale falla, se esiste, avvicina all'obiettivo.
- Azione. L'agente esegue il test: manipola un parametro, tenta un bypass di autorizzazione, concatena una condizione. Le azioni sensibili passano per approvazione.
- Verifica. Il risultato viene confermato. Un falso positivo viene scartato; un risultato reale viene rieseguito per garantirne la riproducibilità.
- Correlazione. L'agente attraversa le superfici — web, API, ritorno al web — mantenendo la stessa identità e lo stesso stato per dimostrare non solo che la falla esiste, ma che raggiunge il core business.
- Decisione. L'agente cambia rotta, approfondisce o si ferma secondo il criterio definito, e registra prove, log e replay di ogni passo.
È la fase 6 a separare il pentest agentico da una checklist di vulnerabilità isolate. Provare che un endpoint API espone un'autorizzazione difettosa è un risultato; dimostrare che quella falla, concatenata a una sessione web legittima, porta alla manipolazione di un flusso finanziario è un percorso d'attacco con impatto di business — ed è questo a orientare l'ordine di correzione.
Quali tipi di test copre un agente?
Un singolo agente copre più superfici perché mantiene il contesto quando passa dall'una all'altra, invece di trattare ciascuna come un test separato. I fronti che beneficiano di più di questo modello:
- Applicazioni web e API — la coppia in cui la correlazione di identità e stato tra superfici rende di più, dal login alla regola di business.
- Pentest cloud — enumerazione di permessi, configurazioni e percorsi di escalation in ambienti elastici.
- Pentest di rete — movimento tra host e servizi interni a partire da un punto d'appoggio.
- Pentest mobile — in scope limitati, valutando l'app e le sue integrazioni di backend.
- Esercizi di Red Team — l'agente estende la portata di ricognizione e concatenamento, mentre il team umano guida strategia e obiettivo.
In ogni caso, il valore non sta nel sostituire lo strumento specifico di ciascuna superficie, bensì nel mantenere una singola missione viva attraverso di esse — cosa che un insieme di scanner indipendenti non fa.
Come esegue Berghem il pentest agentico?
Berghem gestisce questo modello attraverso Berghem Agents, un prodotto di EHT agentico con architettura multi-modello. Invece di dipendere da un singolo modello, il sistema sceglie la rotta di intelligenza in base al compito, alla sensibilità dei dati e ai vincoli del cliente — usando modelli specializzati, privati, di terze parti autorizzate o modelli all'interno del tenant del cliente quando il dato non può lasciare l'ambiente.
L'operazione è organizzata in quattro livelli. Il livello missione e limiti fissa obiettivo, core business, superfici, azioni consentite e criterio di arresto. Il livello intelligenza decide quale modello elabora cosa. Il livello esecuzione aziona browser, API e strumenti specializzati. Il livello controllo e prova gestisce identità, approvazioni, log, circuit breaker, replay e report. L'autonomia è proporzionale al rischio: scope e accesso sono definiti prima dell'esecuzione, le azioni sensibili richiedono approvazione e le operazioni irreversibili possono essere bloccate.
Ciò a cui Berghem non rinuncia è la direzione umana. Lo specialista resta al centro: definisce la missione e il crown jewel, interpreta le ambiguità, autorizza le azioni sensibili e risponde tecnicamente del risultato. L'agente estende la portata; lo specialista preserva il giudizio. Due decenni di pentest per istituzioni finanziarie dell'America Latina sono alla base della metodologia — l'esperienza che indica quali rotte valga la pena investigare e quali risultati contino per il business.
Dove si inserisce l'umano nel loop?
L'umano interviene in tre momenti che l'automazione non copre: all'inizio, definendo la missione e ciò che è fuori dai limiti; durante, approvando le azioni sensibili e interpretando le ambiguità che richiedono contesto di business; e alla fine, validando le prove, classificando la severità per impatto e firmando il risultato. Questo modello è lo human-in-the-loop, e non è una formalità.
La ragione è tecnica, non solo di governance. Un agente eccelle in portata e concatenamento, ma non porta con sé il contesto di business che decide se un risultato è critico o irrilevante — se un flusso esposto è una falla grave o un comportamento previsto del prodotto. Né deve essere lui a decidere di eseguire un'azione irreversibile in un ambiente di produzione. Per questo l'architettura prevede checkpoint, un limite di costo e un circuit breaker che interrompe l'operazione quando un parametro esce dal previsto. L'agente propone; lo specialista dispone.
Questo equilibrio si collega direttamente alla governance dell'IA. Eseguire agenti offensivi con scope, approvazione e tracciabilità è esattamente il tipo di controllo che norme come la ISO 42001 si aspettano da chi opera l'IA in modo responsabile — ed è il modo in cui un'azienda di sicurezza informatica a San Paolo dimostra che l'autonomia della macchina resta sotto controllo umano verificabile.
Quali sono i limiti del pentest agentico?
Il limite principale è il giudizio: un agente non sostituisce lo specialista nell'interpretazione della logica di business ambigua, nella prioritizzazione finale per impatto né nella responsabilità tecnica del risultato. Estende la portata dell'investigazione, ma il significato di ciò che trova resta deciso da una persona. Riconoscerlo è ciò che separa un uso maturo degli agenti da una promessa di "pentest 100% automatico".
Ci sono altri limiti concreti che orientano le aspettative:
- Contesto di business. L'agente non conosce il valore di un dato o di un flusso se la missione non lo definisce. Un crown jewel descritto male produce un'investigazione mal indirizzata.
- Ambienti sensibili. Azioni irreversibili, sistemi di produzione critici e dati regolamentati richiedono approvazione umana e, spesso, esecuzione ristretta al tenant del cliente.
- Falsi positivi. Come ogni sistema automatizzato, un agente genera rumore; la fase di verifica e la validazione umana esistono proprio per filtrarlo prima del report.
- La copertura non è una garanzia. Raggiungere più rotte di un test manuale non significa raggiungerle tutte. L'agente riduce il punto cieco, non lo elimina.
Trattati come strumento sotto direzione specializzata, e non come sostituto dello specialista, gli agenti alzano il tetto di ciò che un test di intrusione copre nello stesso tempo. È questa la proposta: più portata, la stessa responsabilità umana.
Domande frequenti
Il pentest agentico sostituisce il pentester umano?
No. L'agente estende la portata dell'investigazione — copre più rotte e concatena più condizioni nello stesso tempo —, ma lo specialista continua a definire la missione, ad approvare le azioni sensibili, a interpretare la logica di business e a firmare il risultato. Il modello è human-in-the-loop: la macchina propone, la persona decide.
Qual è la differenza tra uno scanner autonomo e un agente?
Uno scanner esegue una batteria fissa di controlli e restituisce una lista, senza concatenare i risultati. Un agente mantiene un obiettivo, interpreta il risultato di ogni azione e riformula l'ipotesi successiva, preservando identità e stato tra le superfici. La differenza è l'agency: decidere il passo successivo, non solo eseguirlo.
È sicuro eseguire un pentest agentico in produzione?
Sì, quando opera sotto scope approvato e con controlli adeguati. L'autonomia è proporzionale al rischio: le azioni sensibili richiedono approvazione, le operazioni irreversibili possono essere bloccate e un circuit breaker interrompe l'esecuzione fuori dal previsto. Ogni passo è registrato con log, prove e replay per l'audit.
Il pentest agentico è il modello dietro Berghem Agents e i nostri esercizi di Red Team. Per discutere la sua applicazione nel tuo ambiente, parla con il team.