Az AWS friss tesztje szerint autonóm biztonsági ügynöke 37 újabb, valós sérülékenységből 33-at bizonyíthatóan ki tudott használni. Az eredmény gyártói mérés, de a magyar szoftverfejlesztő KKV-k számára is jelzi, hogy a kiadások előtti biztonsági ellenőrzés egyre inkább automatizálható.
Nemcsak jelzi, hanem meg is próbálja kihasználni a hibát
Az AWS 2026. október 15-én közzétett vizsgálatában az AWS Continuum részévé vált Security Agentet 37, 2025-ben vagy 2026-ban nyilvánosságra hozott CVE-sérülékenységen tesztelte. Az elkülönített, konténeres környezetekben futó ügynök csak egy webcímet és rövid támpontot kapott: magának kellett feltérképeznie a célpontot, működő támadást készítenie, majd bizonyítékot szereznie.
A rendszer 35 tesztben elérte az elrejtett jelzőt, de a kézi és gépi felülvizsgálat két eredményt kizárt, mert az ügynök nem a vizsgált sérülékenységet használta. Így a végleges eredmény 33 sikeres kihasználás lett a 37-ből, azaz 89,2 százalék. A mintában többek között SQL-injekciók, hozzáférés-ellenőrzési hibák, szerveroldali kéréshamisítások és távoli kódfuttatást lehetővé tevő problémák szerepeltek.
Az adatot érdemes megfelelő fenntartással kezelni: ez az AWS saját, 37 elemű benchmarkja, nem független termék-összehasonlítás. A vállalat ugyan csökkentette annak esélyét, hogy a modell korábbról ismerje a megoldásokat, de maga is hangsúlyozza, hogy ezt teljesen kizárni nem lehet.
A hatékonyság mellett új kockázat is megjelent
A két sikertelen eset különösen tanulságos. Az ügynök megtalálta és kihasználta a hibát, de közben működésképtelenné tette a tesztalkalmazást. Az AWS ezért még fejleszti a roncsolásmentes bizonyítás, az állapotfigyelés és a hatókör betartásának védelmi korlátait.
Ez világos üzenet a KKV-knak: autonóm behatolási tesztet nem célszerű felügyelet nélkül éles rendszerre engedni. Elkülönített tesztkörnyezet, pontosan meghatározott célpontok, korlátozott jogosultságú tesztfiókok, naplózás és jóváhagyott leállítási szabályok szükségesek. Az AWS dokumentációja is nem éles környezet használatát és termelési hozzáféréssel nem rendelkező hitelesítő adatokat javasol.
Mit jelent ez egy magyar KKV-nak?
A közvetlen célcsoport elsősorban a saját webalkalmazást, ügyfélportált, API-t vagy SaaS-szolgáltatást fejlesztő vállalkozás. Az AWS már dokumentálta, miként illeszthető a penetrációs teszt GitHub Actions, GitLab, Bitbucket vagy Azure DevOps kiadási folyamatába. A teszt a módosított részekre szűkíthető, és beállítható, hogy súlyos hiba esetén megállítsa az élesítést.
Elérhetőség: az AWS Continuum penetrációs tesztelési funkciójához már elérhető dokumentáció és konzolos indítás. A kapcsolódó kódellenőrzés és fenyegetésmodellezés viszont továbbra is előzetes verzióként szerepel, míg a teljes kódsérülékenység-kezelés zárt előzetes program. Ezeket tehát még nem szabad általánosan elérhető szolgáltatásként kezelni.
KKV-k számára a jó első lépés nem feltétlenül egy új termék beszerzése. Érdemes először egyetlen, üzletileg fontos alkalmazás tesztkörnyezetén kipróbálni az automatizált ellenőrzést, a találatokat szakemberrel validáltatni, és csak ezután dönteni arról, indokolt-e biztonsági kapuk beépítése minden kiadás elé.
Elsődleges források: