Pentest agêntico é um teste de invasão conduzido por agentes de IA que perseguem um objetivo definido — não apenas executam passos programados. O agente mantém contexto, formula hipóteses, encadeia falhas e busca evidências até o ativo crítico, sempre dentro de um escopo aprovado e sob direção de um especialista humano.
O termo "autônomo" gera confusão porque descreve tanto um scanner que roda sozinho quanto um agente que decide o que fazer a seguir. São coisas diferentes. Um scanner executa uma bateria fixa de verificações e devolve uma lista. Um agente recebe uma missão — o ativo que não pode ser comprometido — e investiga as rotas que levam até ele, ajustando o caminho conforme observa o alvo. Este texto explica o que muda na prática, quais fases um agente percorre, como a Berghem opera esse modelo e onde ele ainda depende de julgamento humano.
O que é um pentest agêntico?
Um pentest agêntico é a aplicação de agentes de IA — não de um único prompt, mas de um sistema que observa, decide e age em ciclo — a um teste de invasão. A diferença central em relação à automação tradicional é a agência: o agente mantém um objetivo, seleciona ferramentas, interpreta o resultado de cada ação e reformula a hipótese seguinte, em vez de rodar uma sequência pré-programada de verificações.
Na prática, isso significa que o agente preserva estado. Ele mantém a mesma identidade e sessão ao atravessar uma aplicação web, uma chamada de API e o retorno à camada web; compara respostas entre perfis de usuário; guarda o que já testou; e correlaciona sinais que, isolados, não significariam nada. É essa memória de trabalho ao longo da investigação que aproxima o comportamento do de um profissional, e que distingue um agente de um "web agent" genérico que apenas clica em uma página.
Vale separar dois conceitos que costumam ser confundidos. Fazer pentest com agentes de IA — o tema deste texto — é usar agentes como ferramenta ofensiva contra sistemas convencionais. Fazer pentest de sistemas de IA é o oposto: testar a segurança dos próprios agentes, modelos e pipelines de uma organização, assunto que tratamos em segurança em agentes de IA. Os dois se apoiam nas mesmas técnicas, mas resolvem problemas distintos.
Pentest agêntico, scanner ou pentest manual: qual a diferença?
A diferença está em quem decide o próximo passo. Um scanner segue um roteiro fixo e não encadeia achados; um pentest manual encadeia, mas é limitado pelo tempo de uma pessoa; um pentest agêntico encadeia com o alcance de uma máquina, mantendo o especialista como quem define a missão e valida o resultado. A tabela abaixo resume os eixos que mais importam na decisão.
| Critério | Scanner automatizado | Pentest manual | Pentest agêntico |
|---|---|---|---|
| Decide o próximo passo | Roteiro fixo | Especialista | Agente, dentro dos limites da missão |
| Encadeia vulnerabilidades | Não | Sim | Sim |
| Mantém identidade e estado entre superfícies | Raramente | Sim | Sim |
| Alcance / cobertura | Amplo, superficial | Profundo, limitado pelo tempo | Amplo e profundo |
| Contexto de negócio | Nenhum | Alto | Definido pelo especialista, executado pelo agente |
| Evidência reproduzível | Parcial | Sim | Sim, com replay e log |
| Custo por hora de teste | Baixo | Alto | Intermediário |
Nenhuma das três abordagens substitui as outras em todos os cenários. Um scanner continua útil para higiene contínua e cobertura de baixo custo. O pentest manual segue insubstituível para lógica de negócio ambígua e para o julgamento final. O pentest agêntico ocupa o espaço entre os dois: dá ao especialista o alcance para investigar muito mais rotas do que ele exploraria à mão, sem abrir mão do encadeamento que um scanner nunca produz.
Quais fases um agente percorre em uma investigação?
Um agente não improvisa do zero: ele opera dentro de um ciclo que vai da definição da missão à entrega de evidência. As fases se repetem e se realimentam — uma hipótese confirmada gera novas hipóteses, uma rota bloqueada leva a outra. Descrevemos o ciclo como sete etapas:
- Missão e limites. O especialista define o objetivo, o crown jewel (o ativo crítico), as superfícies em escopo, as ações permitidas e o critério de parada. Nada começa sem esse enquadramento.
- Reconhecimento. O agente enumera a superfície: endpoints, fluxos de autenticação, regras de negócio expostas, integrações e o que a sessão efetivamente alcança.
- Hipótese. A partir do que observou, o agente formula e prioriza hipóteses de ataque — qual falha, se existir, aproxima do objetivo.
- Ação. O agente executa o teste: manipula um parâmetro, tenta um contorno de autorização, encadeia uma condição. Ações sensíveis passam por aprovação.
- Verificação. O resultado é confirmado. Um falso positivo é descartado; um achado real é reexecutado para garantir reprodutibilidade.
- Correlação. O agente cruza superfícies — web, API, retorno à web — mantendo a mesma identidade e estado para demonstrar não só que a falha existe, mas que ela chega ao core business.
- Decisão. O agente muda de rota, aprofunda ou para, conforme o critério definido, e registra evidência, log e replay de cada passo.
É a fase 6 que separa o pentest agêntico de um checklist de vulnerabilidades isoladas. Provar que um endpoint de API expõe uma autorização falha é um achado; demonstrar que essa falha, encadeada a uma sessão web legítima, leva à manipulação de um fluxo financeiro é um caminho de ataque com impacto de negócio — e é isso que orienta a ordem de correção.
Que tipos de teste um agente cobre?
Um único agente cobre múltiplas superfícies porque mantém contexto ao cruzar de uma para outra, em vez de tratar cada uma como um teste separado. As frentes que se beneficiam mais desse modelo:
- Aplicações web e APIs — o par onde a correlação de identidade e estado entre superfícies rende mais, do login à regra de negócio.
- Pentest de cloud — enumeração de permissões, configurações e caminhos de escalonamento em ambientes elásticos.
- Pentest de rede — movimento entre hosts e serviços internos a partir de um ponto de apoio.
- Pentest mobile — em escopos limitados, avaliando o app e suas integrações de backend.
- Exercícios de Red Team — o agente amplia o alcance de reconhecimento e de encadeamento, enquanto o time humano conduz a estratégia e o objetivo.
Em todos os casos, o valor não está em substituir a ferramenta específica de cada superfície, e sim em manter uma única missão viva através delas — algo que um conjunto de scanners independentes não faz.
Como a Berghem executa o pentest agêntico?
A Berghem opera esse modelo através do Berghem Agents, um produto de EHT agêntico com arquitetura multimodelo. Em vez de depender de um único modelo, o sistema escolhe a rota de inteligência conforme a tarefa, a sensibilidade dos dados e as restrições do cliente — usando modelos especializados, privados, de terceiros autorizados ou modelos dentro do próprio tenant do cliente quando o dado não pode sair do ambiente.
A operação se organiza em quatro camadas. A camada de missão e limites fixa objetivo, core business, superfícies, ações permitidas e critério de parada. A camada de inteligência decide qual modelo processa o quê. A camada de execução aciona browser, APIs e ferramentas especializadas. A camada de controle e evidência cuida de identidades, aprovações, logs, circuit breaker, replay e relatório. A autonomia é proporcional ao risco: escopo e acesso são definidos antes da execução, ações sensíveis exigem aprovação e operações irreversíveis podem ser bloqueadas.
O ponto que a Berghem não abre mão é a direção humana. O especialista continua no centro: define a missão e o crown jewel, interpreta ambiguidades, autoriza ações sensíveis e responde tecnicamente pelo resultado. O agente amplia o alcance; o especialista preserva o julgamento. Duas décadas de pentest para instituições financeiras da América Latina estão na base da metodologia — a experiência que informa quais rotas valem investigação e quais achados importam ao negócio.
Onde entra o humano no loop?
O humano entra em três momentos que a automação não cobre: no início, definindo a missão e o que está fora dos limites; durante, aprovando ações sensíveis e interpretando ambiguidades que exigem contexto de negócio; e no fim, validando a evidência, classificando a severidade por impacto e assinando o resultado. Esse modelo é o human-in-the-loop, e não é uma formalidade.
A razão é técnica, não apenas de governança. Um agente é excelente em alcance e em encadeamento, mas não carrega o contexto de negócio que decide se um achado é crítico ou irrelevante — se um fluxo exposto é uma falha grave ou um comportamento esperado do produto. Também não deve ser quem decide executar uma ação irreversível em um ambiente de produção. Por isso a arquitetura prevê checkpoints, limite de custo e um circuit breaker que interrompe a operação quando um parâmetro sai do previsto. O agente propõe; o especialista dispõe.
Esse equilíbrio conecta diretamente com governança de IA. Rodar agentes ofensivos com escopo, aprovação e trilha de auditoria é exatamente o tipo de controle que normas como a ISO 42001 esperam de quem opera IA com responsabilidade — e é como uma empresa de segurança da informação em São Paulo demonstra que a autonomia da máquina permanece sob controle humano verificável.
Quais são os limites do pentest agêntico?
O principal limite é o julgamento: um agente não substitui o especialista na interpretação de lógica de negócio ambígua, na priorização final por impacto nem na responsabilidade técnica pelo resultado. Ele amplia o alcance da investigação, mas o significado do que encontra continua sendo decidido por uma pessoa. Reconhecer isso é o que separa um uso maduro de agentes de uma promessa de "pentest 100% automático".
Há outros limites concretos que orientam a expectativa:
- Contexto de negócio. O agente não conhece o valor de um dado ou de um fluxo sem que a missão o defina. Um crown jewel mal descrito produz uma investigação mal direcionada.
- Ambientes sensíveis. Ações irreversíveis, sistemas de produção críticos e dados regulados exigem aprovação humana e, muitas vezes, execução restrita ao tenant do cliente.
- Falsos positivos. Como qualquer sistema automatizado, um agente gera ruído; a fase de verificação e a validação humana existem justamente para filtrá-lo antes do relatório.
- Cobertura não é garantia. Alcançar mais rotas do que um teste manual não significa alcançar todas. O agente reduz o ponto cego, não o elimina.
Tratados como ferramenta sob direção especializada, e não como substituto do especialista, os agentes elevam o teto do que um teste de invasão cobre no mesmo tempo. É essa a proposta: mais alcance, mesma responsabilidade humana.
A Berghem é uma empresa de pentest brasileira, sediada em São Paulo, que executa testes de invasão manuais orientados por objetivo adversarial.
Perguntas frequentes
Pentest agêntico substitui o pentester humano?
Não. O agente amplia o alcance da investigação — cobre mais rotas e encadeia mais condições no mesmo tempo —, mas o especialista continua definindo a missão, aprovando ações sensíveis, interpretando lógica de negócio e assinando o resultado. O modelo é human-in-the-loop: a máquina propõe, a pessoa decide.
Qual a diferença entre um scanner autônomo e um agente?
Um scanner executa uma bateria fixa de verificações e devolve uma lista, sem encadear achados. Um agente mantém um objetivo, interpreta o resultado de cada ação e reformula a hipótese seguinte, preservando identidade e estado entre superfícies. A diferença é a agência: decidir o próximo passo, não apenas executá-lo.
O pentest agêntico é seguro para rodar em produção?
Sim, quando opera sob escopo aprovado e com controles adequados. A autonomia é proporcional ao risco: ações sensíveis exigem aprovação, operações irreversíveis podem ser bloqueadas e um circuit breaker interrompe a execução fora do previsto. Cada passo fica registrado com log, evidência e replay para auditoria.
O pentest agêntico é o modelo por trás do Berghem Agents e dos nossos exercícios de Red Team. Para discutir a aplicação no seu ambiente, fale com o time.