Pentesting con IA: cosa i sistemi autonomi offrono davvero oggi

Il pentesting con IA è la grande promessa del settore: un agente che svolge l'intero test in piena autonomia. Abbiamo verificato di persona, con i sistemi totalmente autonomi disponibili e con inferenza locale propria. Il bilancio è più sobrio della pubblicità, ma molto più utile.

In breve: enumerazione e parte dello sfruttamento oggi funzionano. In piena autonomia i sistemi restano incoerenti e inaffidabili. Il potenziale sta nell'assistere i pentest e nell'automatizzare singoli piccoli passaggi parziali.

Sistemi autonomi messi alla prova

Abbiamo testato Strix e PentAGI, due approcci disponibili di agenti pentest autonomi.

Strix trova debolezze nel codice e sui web server, ma il trovare non è né affidabile né coerente. L'interfaccia non è pronta per la produzione: contiene bug, si blocca con output inattesi del modello e produce come unico risultato un file Markdown senza struttura fissa. Un report di test diventa una raccolta di testo che un essere umano deve riordinare.

PentAGI appare in superficie più maturo e organizza i compiti nettamente meglio di Strix. In pratica i flussi a volte si mettono in pausa quando dovrebbero girare in background, e i risultati restano incoerenti. Gli agenti spesso fanno più del compito corrente, duplicando molto lavoro. Il punto più critico sono le uscite dal perimetro: a volte sono stati testati IP e porte fuori dall'ambito definito. Ciò che in laboratorio è inefficienza, presso un cliente è un problema contrattuale. Un pentest senza disciplina di perimetro non è un pentest.

Conseguenza: assistito, non autonomo

Il valore di un pentest sta nella tracciabilità, nel rispetto del perimetro e in una valutazione solida. Sono esattamente i tre punti che gli agenti autonomi oggi non rispettano. Un modello può invece lavorare in modo affidabile dove i passaggi parziali sono riproducibili: strutturare le superfici d'attacco, delimitare zone di codice, pre-redigere i testi grezzi del report, portare varietà in wordlist e test di fuzzing. Il tester resta decisore, il modello moltiplicatore.

Inferenza locale invece di API cloud

Chi invia i dati di un pentest tramite API cloud affida superfici d'attacco, risultati e dettagli di architettura a un soggetto terzo. La maggior parte dei clienti non lo vuole, a ragion veduta. Per questo eseguiamo l'inferenza in locale.

Lato hardware la scelta è caduta su una NVIDIA RTX PRO 6000 (Blackwell): 96 GB di memoria GDDR7, supporto hardware NVFP4 per i modelli quantizzati e CUDA come ecosistema software, ancora nettamente avanti ad AMD. La carta esiste come singola carta PCIe, a differenza degli acceleratori da datacenter come la B200. La rinuncia a NVLINK è tollerabile per i nostri flussi. Esaminate anche le alternative: RTX PRO 5000 Blackwell, con un po' meno potenza e memoria; H100 NVL e H200 NVL, più banda di memoria e NVLINK ma generazione precedente e prezzo più alto; AMD Radeon AI PRO R9700, molto più economica ma con molta meno VRAM e meno supporto software; e il GB10, con memoria condivisa molto più lenta e senza possibilità di espansione con altre carte.

Stack di inferenza e modelli aperti

Lato software di inferenza: ollama è semplice, con poche opzioni di configurazione. llama.cpp è la scelta giusta per l'offloading su CPU o per l'inferenza solo su CPU. Per l'esercizio produttivo usiamo vLLM, oggi lo standard per inferenza completamente su GPU, a suo agio con più utenti concorrenti e con le migliori prestazioni sulle schede video.

Sulla carta girano veloci tra gli altri Qwen3.8-27B, Qwen3.6-35B-A3B, Qwen3.5-122B-A10B, gpt-oss-120b, Mistral Small 4 e Gemma 4. Nota: Qwen3.8-27B è relativamente piccolo eppure oggi tra i migliori e più recenti modelli open-weight. Pesi aperti significa più che risparmiare le licenze: pieno controllo su deploy, lunghezza di contesto e gestione dei dati.

Il bilancio onesto: l'IA non sostituisce un pentester. Sostituisce le parti noiose del suo lavoro e accelera il resto. Chi oggi compra un pentest totalmente autonomo con IA compra una promessa del futuro, non il presente.