«Kjernestandarden i faget er fortsatt enkel: bevis det.» Slik oppsummerer Stephen Sims, fellow ved SANS Institute, poenget sitt i en artikkel hos The Hacker News. KI kan lese kode, generere payloads og oppsummere angrepsflater i imponerende tempo, men et funn er verdiløst før noen har bevist at sårbarheten faktisk finnes, kan nås av en angriper og har reell effekt.
Problemet er ikke at KI tar feil, men at output ikke er det samme som bevis. En generert rapport kan ha polert språk, en severity-rating og en proof-of-concept som ser rimelig ut ved første øyekast, uten at noe av det viser at feilen er utnyttbar i et faktisk miljø. Bug bounty-plattformen Bugcrowd har allerede endret retningslinjene sine etter en bølge av KI-genererte innsendinger som så gode ut, men skapte triage-arbeid framfor reelle sikkerhetssignaler.
Sims trekker et skarpt skille mellom «leads» og validerte funn. En modell som ser brukerinput nær en databasespørring roper gjerne «SQL-injection»; ser den en URL-henting, foreslår den SSRF. Men før det blir et funn må testeren vise at angriperkontrollert input faktisk når den farlige operasjonen, at autentisering ikke stopper den, og at produksjonskonfigurasjonen eksponerer kodestien. Han peker på at rapporter ofte får en CVSS 9.8-rating når det i praksis kanskje ikke er et funn i det hele tatt.
For deg som bygger egne KI-agenter eller automatiserer sikkerhetstesting er poenget konkret: bruk modellen til å generere hypoteser og redusere mekanisk arbeid, men behold mennesket i loopen for verifisering. Sims advarer også om at overavhengighet gjør testere rustne, fordi man slutter å bygge den mentale modellen selv når verktøyet svarer på alt umiddelbart. Sikkerhetsselskapet Tenable har pekt på et beslektet problem: kritiske kontekstuelle kombinasjoner blir ofte oversett.
Konklusjonen er at KI ikke senker beviskravet, men gjør det viktigere. Den som kan bevise hva som betyr noe, blir mer verdt enn den som produserer flest funn.