Khảo sát: Nhân sự an ninh giảm niềm tin vào pentesting tự động hoàn toàn
"Cobalt’s 2026 State of Pentesting report says security teams are losing confidence in fully automated pentesting because these tools miss critical vulnerabilities, especially in AI and LLM environments. The survey found 78% of respondents experienced critical false negatives, and the share open to fully autonomous pentesting fell from 29% last year to 9%; the suggested fix is a hybrid model with human oversight for critical systems."
Tác động chính là nguy cơ bỏ sót lỗ hổng khi phụ thuộc vào fully automated pentesting, thể hiện qua critical false negatives cao và hạn chế trước các lỗi trong AI/LLM. Điều này có thể làm giảm độ tin cậy của kết quả kiểm thử và tăng rủi ro khai thác trong thực tế.
Giảm niềm tin vào pentesting tự động có thể kéo theo chi phí vận hành tăng do cần human-in-the-loop cho hệ thống quan trọng. Đồng thời, việc lỗ hổng có mức độ high/critical tăng trong bối cảnh AI có thể làm kéo dài thời gian xử lý và tăng rủi ro gián đoạn.
Theo Cobalt 2026 State of Pentesting report, các đội bảo mật đang suy giảm niềm tin vào fully automated pentesting do công cụ quét tự động bỏ sót các lỗ hổng quan trọng. Khảo sát cho biết 78% người tham gia từng gặp critical false negatives khi dùng công cụ tự động, đặc biệt trong các môi trường chịu tác động mạnh từ AI/LLM.
Cobalt nhận định bộ quét tự động thường hiệu quả với lỗ hổng đã biết theo signature-based, nhưng kém khi đối mặt các kịch bản cần tương tác nhiều lượt như prompt injection và các lỗi liên quan đến excessive agency. Những vấn đề logic này có thể không lộ diện khi kiểm thử chỉ dựa trên truy vấn tự động “một lần”.
Tỷ lệ người sẵn sàng cho mô hình pentesting tự chủ hoàn toàn giảm từ 29% (năm trước) xuống 9%. Dù cỡ mẫu khảo sát 450 người không lớn, xu hướng vẫn cho thấy nhu cầu “đảm bảo thực chất” thay vì chỉ tăng mức độ bao phủ.
Khuyến nghị của Cobalt là áp dụng mô hình hybrid: để phần lớn hệ thống được quét tự động, nhưng với các hệ thống quan trọng, cần human oversight để giảm rủi ro bỏ sót và sai lệch đánh giá.