Web Deep Agentic Scan

Le Web Deep Agentic Scan fournit des tests d'intrusion par IA pour vos applications web. Il :

• découvre des failles logiques complexes et enchaîne les vulnérabilités en chemins d'attaque ;
• valide les découvertes grâce à des exploits de type preuve de concept (PoC) pour confirmer leur impact réel ;
• hiérarchise les risques selon les relations entre les faiblesses.

Comment créer un Web Deep Agentic Scan ?

1. Cliquez sur "New Scan" dans la barre supérieure.

   

2. Sélectionnez "Web App" ou "Web API". Pour cet exemple, nous sélectionnerons "Web App".

   

3. Spécifiez les URL / domaines cibles, un par ligne. Cliquez sur "Continue".

   

4. L'étape "Extra Context" est facultative : cliquez sur "Continue" pour la passer.

5. Sélectionnez "Web Deep Agentic Scan" comme profil de scan et cliquez sur "Continue".

   

6. Vérifiez les "Guardrails". Le scan s'exécute dans le périmètre approuvé et exclut les environnements que vous spécifiez.

   • "Approval of actions" (Approuver les actions d'un agent IA) : ce que font les agents d'IA avant une action à risque, comme l'envoi d'un SMS ou la publication d'un fichier :
     • "Run without asking" : ils l'exécutent d'eux-mêmes.
     • "Ask me, block if no answer" : ils vous demandent d'abord, et ignorent l'action en l'absence de réponse.
     • "Ask me, run if no answer" : ils vous demandent d'abord, et exécutent l'action en l'absence de réponse.
   • "Vulnerability scope" (facultatif) : les domaines et les IP que l'agent teste et sur lesquels il signale des vulnérabilités. Laissez ce champ vide pour signaler les vulnérabilités sur toutes les cibles.
   • "Blocked IPs" (facultatif) : les IP et plages CIDR que l'agent ne contacte jamais.
   • "Additional instructions" (facultatif) : limites des tests, environnements à éviter ou autres exigences de sécurité.

   Cliquez sur "Continue".

   

7. Sélectionnez le fournisseur d'IA : "Cybermodels" exécute le scan avec vos jetons Cybermodels, sans clé d'API à gérer, tandis que "BYOK Simple" et "BYOK Advanced" utilisent votre propre clé d'API. Consultez Présentation des Cyber Models et Utiliser votre clé de scan BYOK dans un profil de scan. Cliquez sur "Continue".

   

8. Définissez le niveau d'"Effort" : la profondeur d'exploration et le nombre de jetons alloués au scan. Chaque niveau est comparé à un pentest manuel, c'est-à-dire au temps dont un seul pentesteur a besoin pour évaluer le même nombre de risques :

   • "Core" : environ 1 semaine de pentest.
   • "Advanced" : environ 2 à 4 semaines de pentest.
   • "Elite" : environ 4 à 8 semaines de pentest.
   • "Custom Tokens" : un budget de jetons que vous définissez vous-même.

   Cliquez sur "Estimate this scan" pour obtenir une estimation du nombre de jetons et une recommandation d'effort pour votre cible. Cliquez sur "Continue".

   

9. Configurez les étapes facultatives selon vos besoins :

   • Test Credentials : permettent des tests authentifiés.
   • SBOM ou fichiers de verrouillage : étendent la détection des dépendances.
   • Prompts : guident le Web Deep Agentic Scan sur les éléments à tester.
   • Advanced Settings : définissent le débit de requêtes (QPS), un Proxy ou un Filter URL regex pour exclure des URL de l’exploration et du scan.
   • Tags : ajoutent des étiquettes pour organiser le scan.

10. Cliquez sur "Start scan" dans le panneau de droite.

    

Que montrent les résultats du scan ?

1. Suivez le scan depuis "Scans" dans la barre supérieure, et ouvrez-le une fois qu'il est terminé.

   

2. La section "Risks" répertorie chaque chemin d'attaque testé par les agents, avec son niveau de risque et son statut.

   

   Ouvrez un risque pour explorer son chemin de Transparent Attack Validation : les décisions exactes, les sorties d'outils et les étapes suivies par l'agent d'IA pour valider les vulnérabilités.

   

3. Ouvrez la Scan Coverage Heatmap, qui fournit une vue visuelle de la couverture des tests à travers les composants de l'application et les catégories de sécurité. Cela aide les équipes à comprendre quelles zones de l'application ont reçu une analyse plus approfondie, où la couverture était limitée, et comment la couverture évolue au fil des évaluations.

   

   Note : Le traitement historique des scans (Historical Scan Processing) est activé par défaut. Le scanner se souvient des découvertes précédentes et des chemins d'attaque validés, concentrant les scans ultérieurs sur les fonctionnalités nouvelles ou modifiées pour une couverture incrémentale et cumulative.

Étape suivante : Approuver les actions d’un agent IA ou guider le scan avec des prompts.