Agenti AI per il penetration test: come funzionano, open source o enterprise (2026)

Ogni agente esegue lo stesso ciclo: pianifica, agisce, osserva, ricorda. Il modello legge l'obiettivo e quello che sa finora, sceglie un'azione come una scansione di porte, una richiesta o un exploit, un tool la esegue e l'output torna al modello, che decide il passo successivo. Il ciclo si ferma quando l'obiettivo è raggiunto, il budget finisce o una persona lo interrompe.

Il modello da solo non basta. Lo scaffold che lo circonda fornisce i tool, una sandbox in cui eseguirli, la memoria di ciò che è stato tentato, il perimetro da rispettare e il formato del report. La ricerca continua a trovare che lo scaffold conta quanto il modello: AutoPT ha quasi raddoppiato il tasso di completamento con lo stesso modello vincolandolo a una macchina a stati, e lo studio ARTEMIS ha visto scaffold generici per il coding restare dietro alla maggior parte dei pentester umani sulla stessa rete dove uno costruito apposta è arrivato secondo.

Le architetture principali:

• Assistente. L'agente suggerisce il passo successivo e una persona lo esegue. È il disegno originale di PentestGPT.
• Agente autonomo singolo. Un modello con molti tool gestisce l'intero ciclo.
• Multi-agente. Un controller affida il lavoro a specialisti per ricognizione, sfruttamento o movimento laterale, ciascuno con tool e contesto propri. Così funzionano PentAGI, Strix e VulnBot.
• Ponte verso i tool. Un server MCP espone i tool di sicurezza a qualunque modello, come fa HexStrike AI. Intelligenza e regole di sicurezza stanno allora dove gira il modello.
• White box. L'agente legge prima il codice sorgente e poi attacca l'applicazione in esecuzione, come fa Shannon.

I progetti open source più noti a novembre 2026 sono nella tabella qui sotto. Alcune cose che le stelle su GitHub non dicono:

• Le licenze sono diverse. MIT e Apache-2.0 consentono l'uso commerciale; AGPL-3.0 impone obblighi se offri il tool come servizio; il codice proprio di CAI è limitato alla ricerca non commerciale e il progetto è stato archiviato ad agosto 2026 a favore di un successore commerciale.
• L'open core è diffuso. Strix e Shannon sono gratuiti, con edizioni cloud o enterprise a pagamento.
• Dove gira il modello è un'impostazione, non un dato. La modalità autonoma di PentestGPT pilota un agente di coding in cloud; la modalità legacy e PentAGI possono usare modelli locali. Con un modello cloud, ogni banner, risposta e credenziale che l'agente vede viene inviato a terzi.
• Quasi tutti sono pensati per un tipo di bersaglio. Strix e Shannon testano applicazioni web; PentestGPT e PentAGI sono più orientati a reti e macchine in stile CTF. Pochi coprono da capo a fondo Active Directory, movimento laterale e reti interne.

Le valutazioni indipendenti e alla cieca sono ancora rare. Quello che c'è:

• Una rete aziendale reale. Nello studio ARTEMIS guidato da Stanford (ICLR 2026), dieci professionisti, sei agenti esistenti e il framework degli autori hanno testato una rete universitaria di circa 8.000 host. ARTEMIS è arrivato secondo, davanti a 9 umani su 10, con 9 vulnerabilità valide e l'82% di segnalazioni valide; ha prodotto più falsi positivi degli umani e ha faticato con le interfacce grafiche. Approfondimento in pentest AI vs pentester umani.
• Autonomo o assistito. Su AutoPenBench (33 task) un agente completamente autonomo ne ha risolti il 21%, lo stesso agente con aiuto umano il 64%.
• Benchmark CTF. Cybench usa 40 task CTF professionali. Le 104 sfide web di XBOW sono state citate ovunque finché il repository della stessa XBOW non le ha dichiarate sature da metà 2026, con le vulnerabilità ormai apprese dai modelli.

Due limiti valgono per quasi ogni numero che vedrai. I task CTF hanno un obiettivo noto, una flag, quindi non sono alla cieca; e i task pubblici finiscono nei dati di addestramento. Considera il punteggio di benchmark dichiarato da un fornitore o da un progetto come marketing finché qualcun altro non lo riproduce su una rete che l'agente non ha mai visto.

• Controllo del perimetro

  Un agente che improvvisa troverà host che non hai elencato. È la piattaforma, non il prompt, che deve rifiutare i bersagli fuori perimetro, anche dentro gli script che l'agente scrive.

• Approvazioni e arresto di emergenza

  Decidi quali azioni aspettano una persona e assicurati che un solo pulsante fermi tutti gli agenti e resti attivo anche dopo un riavvio. Vedi human in the loop.

• Dove vanno i dati

  Credenziali catturate e nomi host interni sono dati sensibili. Un modello locale su hardware che controlli li tiene dentro; un'API cloud no.

• Evidenze e registro di audit

  Gli auditor vogliono sapere cosa è stato eseguito, quando, da chi e con quale risultato, in un registro che nessuno può modificare dopo.

• Report e mappatura sulla compliance

  Le trascrizioni grezze di un agente non sono un report che un consiglio di amministrazione o un'autorità leggerà.

• Manutenzione e supporto

  Tool, exploit e modelli cambiano ogni mese. Qualcuno deve tenere in piedi lo stack e rispondere quando rompe un sistema.

Gli agenti open source sono ottimi per ricerca, formazione e laboratori. Usarne uno in produzione significa decidere di costruire e gestire tutto quanto sopra. L'OWASP Autonomous Penetration Testing Standard elenca questi controlli come requisiti ed è una buona checklist in entrambi i casi.

• Gli attaccanti usano gli stessi tool. Check Point ha riportato a settembre 2025 che, a poche ore dal rilascio di HexStrike AI, nei forum criminali si discuteva di usarlo contro nuove falle di Citrix NetScaler, sostenendo che il tempo di sfruttamento era sceso da giorni a minuti. Sono affermazioni da forum, non attacchi confermati, ma la finestra tra divulgazione e sfruttamento continua comunque ad accorciarsi.
• Il bersaglio può rispondere. Un agente legge tutto ciò che il bersaglio restituisce, e una pagina, un banner o un file possono contenere istruzioni rivolte al modello. Per questo la documentazione di Shannon sconsiglia di usarlo su codice non fidato. È prompt injection rivolta contro chi testa.
• Falsi risultati. Gli agenti segnalano più falsi positivi degli umani esperti. Chiedi la prova: cosa è stato inviato, cosa è tornato, cosa è stato raggiunto dopo l'accesso. Vedi exploit validation.
• Danni collaterali. Un agente che ripete un exploit dieci volte o lancia un brute force senza limiti può bloccare account o far cadere servizi. Limiti di frequenza e approvazione per le azioni invasive non sono facoltativi.

Gli agenti non eliminano il bisogno di persone. Sono forti su ampiezza e ripetizione: ogni host, ogni settimana, ogni nuova CVE. Gli umani restano migliori su logica applicativa, social engineering e sulle valutazioni che richiede un test guidato dall'autorità come il TLPT DORA.

Per chi compra, la distinzione utile è per modalità di consegna: un agente open source che gestisci tu, un servizio cloud che esegue agenti contro di te, oppure una piattaforma che esegue il pentest autonomo dentro il tuo perimetro. Il confronto degli strumenti copre le piattaforme commerciali e la guida alla valutazione propone un piano di pilota per metterle alla prova.

PentestGPT è gratuito? Sì, ha licenza MIT. Paghi il modello che usa: la modalità autonoma pilota Claude Code o Codex, quindi serve un account presso quei fornitori; la modalità assistente legacy può girare anche su un modello locale.

Posso usare un agente AI di pentest offline? Alcuni supportano modelli locali, tra cui PentAGI e la modalità legacy di PentestGPT. Serve però una GPU sufficiente per un modello capace, e la precisione dipende dal modello che riesci a far girare.

Usare un agente AI di pentest è legale? Sì, sui sistemi di tua proprietà o che hai il permesso scritto di testare, come qualunque tool di pentest. Senza autorizzazione è un reato nella maggior parte dei paesi, in Italia ai sensi dell'art. 615-ter del codice penale.

Qual è il miglior agente open source? Non esiste una classifica indipendente. Scegli in base al bersaglio: Strix o Shannon per le applicazioni web, PentAGI o PentestGPT per reti e laboratori. Controlla la licenza e se il progetto è ancora mantenuto.

Gli agenti AI sostituiscono i pentester umani? Non ancora. Su una rete reale il miglior agente di ricerca ha superato la maggior parte degli umani per risultati validi, ma con più falsi positivi e lacune sulle interfacce grafiche. Il modello diffuso è: agenti per ampiezza e frequenza, persone per profondità e giudizio.

Come funziona l'agente di Zero Hunt? Zero Hunt è un red team AI autonomo per reti e infrastrutture che gira su un'appliance on-premise con modelli propri, quindi nessun dato del cliente esce dall'appliance. Un controller coordina dieci agenti specialisti per ricognizione, analisi delle vulnerabilità, sfruttamento, web, credenziali, post-exploitation, pivoting, copertura ATT&CK, analisi del codice sorgente e report. Cinque livelli di autonomia decidono quali azioni aspettano un operatore, il perimetro viene verificato sulle chiamate ai tool e negli script generati, l'arresto di emergenza resta attivo anche dopo un riavvio e ogni tentativo è un record firmato Ed25519 e concatenato con hash. Le campagne girano una volta o con cadenza giornaliera, settimanale, mensile o personalizzata, in modalità black box o gray box. Zero Hunt non pubblica ancora numeri di benchmark; la sua metodologia di valutazione è in preparazione.