TL; ডিআর
এআই পেন্টেস্টিং টুলগুলো কোনো একটি নির্দিষ্ট শ্রেণীর নয়। এগুলো চারটি ভিন্ন ধরনের পণ্য, যা চারটি ভিন্ন সমস্যার সমাধান করে। স্বয়ংক্রিয় এক্সপোজার ভ্যালিডেশন অবকাঠামো জুড়ে আক্রমণের পথ প্রমাণ করে। এজেন্টিক ওয়েব এবং এপিআই অফেন্স আপনার অ্যাপ্লিকেশনগুলোকে আক্রমণ করে। প্রতিটি বিল্ডে নিরবচ্ছিন্ন রানটাইম টেস্টিং চলে। pipelineএআই অ্যাপ্লিকেশন রেড টিমিং আপনার সরবরাহ করা মডেল এবং এজেন্টগুলোকে আক্রমণ করে। সেগুলোকে বিনিময়যোগ্য হিসেবে তুলনা করা বাজেট নষ্ট করার সবচেয়ে দ্রুততম উপায়।
এজেন্টিক পেন্টেস্টিং হলো এই চারটিরই অন্তর্নিহিত পরিবর্তন। একজন কো-পাইলট একটি পদক্ষেপের পরামর্শ দেন এবং একজন মানুষ সেটি সম্পাদন করেন। একজন এজেন্ট কমান্ডটি চালায়, আউটপুট পড়ে, এরপর কী করতে হবে তা স্থির করে এবং এই প্রক্রিয়াটি চক্রাকারে চলতে থাকে। এই পার্থক্যের কারণেই এজেন্টিক পেন্টেস্টিং এমন সব সিদ্ধান্তে পৌঁছায় যা একটি নির্দিষ্ট স্ক্রিপ্ট কখনোই পারবে না, এবং এই কারণেই ২০২৬ মডেলের প্রকৃত সংস্করণটি হলো শ্রম বিভাজন: এজেন্টরা কাজের ব্যাপকতা ও নিরবচ্ছিন্ন পরিধির অধিকারী হবে, আর মানুষেরা বিচার-বিবেচনা এবং নিয়ন্ত্রক সংস্থার প্রয়োজনীয় স্বাক্ষরের অধিকারী হবে।
স্বায়ত্তশাসন বিক্রেতাদের মধ্যে বিভেদ সৃষ্টি করে না। প্রমাণই তা করে। জিজ্ঞাসা করুন কোনো ফাইন্ডিং-এর সাথে ব্যবহৃত রিকোয়েস্ট, রেসপন্স এবং পেলোড থাকে কি না। জিজ্ঞাসা করুন, কোনো দাবি করা এক্সপ্লয়েট যদি সত্যি না বলে প্রমাণিত হয়, তাহলে তার কী হয়, কারণ এজেন্টিক সিস্টেমগুলো বিভ্রমের শিকার হয়। জিজ্ঞাসা করুন টুলটি কোথায় চলে, যেহেতু অভ্যন্তরীণ অ্যাপ্লিকেশন এবং নিয়ন্ত্রিত এস্টেটগুলো শুধুমাত্র ক্লাউড-ভিত্তিক যেকোনো কিছুকে বাতিল করে দেয়। তারপর জিজ্ঞাসা করুন, ফাইন্ডিংগুলো আপনার ইতোমধ্যে স্ক্যান করা তথ্যের সাথে মেলে কি না, নাকি এমন কোনো চতুর্থ কনসোলে এসে পৌঁছায় যা কেউ বাছাই করে না।
একটি গুরুতর মূল্যায়নের মূল কথা হলো: প্রতিটি অনুসন্ধানের উপর প্রমাণ, তীব্রতার লেবেলের পরিবর্তে সেই প্রমাণের ভিত্তিতে বাছাইকরণ, আপনার নিজস্ব পরিকাঠামোর মধ্যে চালিত পরীক্ষা, যার মধ্যে একটির পিছনে এয়ার-গ্যাপড, প্রমাণীকৃত কভারেজ অন্তর্ভুক্ত। loginএকটি স্ক্যানার যা রিপোর্ট দাখিল করার পরিবর্তে বিল্ডকে ব্যর্থ করে দেয়, এবং আপনার ইতিমধ্যে পরিচালিত ফলাফলগুলির সাথে একটি একক ঝুঁকি মডেলে পারস্পরিক সম্পর্ক স্থাপন করে। জাইজেনি কোড জুড়ে সেগুলোকে অন্তর্ভুক্ত করে, pipeline এবং রানটাইম, যার মধ্যে আপনি প্রতিস্থাপন করছেন না এমন টুলগুলো থেকে গৃহীত তথ্যও অন্তর্ভুক্ত।
বার্ষিক পেন্টেস্টিং কেন কাজ করা বন্ধ করে দিয়েছে?
একটি গতানুগতিক পেনিট্রেশন টেস্ট হলো এমন একটি সিস্টেমের দুই সপ্তাহের চিত্র, যা প্রতিদিন পরিবর্তিত হয়। এর খরচ পাঁচ অঙ্কের হয়ে থাকে, এটি মোট পরিকাঠামোর একটি ক্ষুদ্র অংশকে অন্তর্ভুক্ত করে, এবং রিপোর্টটি আসতে আসতেই অ্যাপ্লিকেশনটি অন্য কোনো দিকে এগিয়ে যায়।
এর কোনো কিছুই কখনো আদর্শ ছিল না। যা বদলেছে তা হলো দুই প্রান্তেই ব্যবধান বেড়ে যাওয়া। কোড দ্রুত শিপ করা হয় কারণ এআই এর বেশিরভাগ অংশ লেখে, এবং ২০২৫ সালের প্রজন্মের এআই Code Security রিপোর্ট দেখা গেছে, এআই-দ্বারা তৈরি করা ৪৫% স্যাম্পলে ১০০টিরও বেশি মডেল জুড়ে সরাসরি OWASP টপ ১০ দুর্বলতাগুলো বিদ্যমান ছিল। অন্যদিকে, ৫৭% প্রতিষ্ঠান দুই বছরের মধ্যে এপিআই-সম্পর্কিত নিরাপত্তা লঙ্ঘনের শিকার হয়েছে। দুর্বলতাগুলো আরও বেশি করে সামনে আসছে, দ্রুত পরিবর্তন হচ্ছে এবং কম ঘন ঘন পরীক্ষা করা হচ্ছে।
সেই চাপই এআই পেন্টেস্টিং টুলের বাজার তৈরি করেছে, এবং একারণেই ২০২৬ সালে এজেন্টিক পেন্টেস্টিং নামটি সকলের কাছে জনপ্রিয় হয়ে ওঠে।
এজেন্টিক পেন্টেস্টিং বলতে কী বোঝায়
গুরুত্বপূর্ণ পার্থক্যটি হলো কো-পাইলট বনাম এজেন্ট। একজন কো-পাইলট পরবর্তী পদক্ষেপের পরামর্শ দেয় এবং একজন মানুষ তা সম্পাদন করে। একজন এজেন্ট কমান্ডটি চালায়, আউটপুট পড়ে, এরপর কী করতে হবে তা স্থির করে এবং এই প্রক্রিয়াটি চক্রাকারে চলতে থাকে।
এজেন্টিক পেন্টেস্টিং হলো দ্বিতীয় বিষয়টি। একজন এজেন্ট কোনো সম্ভাবনার কথা জানানোর পরিবর্তে একটি লক্ষ্য নির্ধারণ করে, সেটির দিকে একাধিক পদক্ষেপ গ্রহণ করে এবং তার প্রভাব বাস্তব কিনা তা যাচাই করে। এটাই একে ক্লাসিক স্ক্যানার, যা পরিচিত চেকগুলো চালায় এবং তীব্রতা অনুসারে আউটপুটকে র্যাঙ্ক করে, এবং কো-পাইলট, যা এখনও মানুষের গতিতে চলে, উভয়ের থেকে আলাদা করে।
এর ফল হলো কভারেজ। একটি স্ক্যানার আপনাকে জানায় যে একটি প্যারামিটার ইনজেক্টেবল বলে মনে হচ্ছে। এজেন্টিক পেন্টেস্টিং আপনাকে জানায় যে এটি কোথায় পৌঁছেছে।
এআই পেন্টেস্টিং টুলের চারটি রূপ
ক্রেতাদের বেশিরভাগ বিভ্রান্তির কারণ হলো এটিকে একটি বিভাগ হিসেবে গণ্য করা। এটি আসলে চারটি বিভাগ।
দুটি ব্যবহারিক বিষয়। বেশিরভাগ প্রতিষ্ঠানেরই এগুলোর একাধিক প্রয়োজন হয়, এবং প্রথম বছরে প্রায় কারোরই চারটিই লাগে না। আর কেবল তৃতীয় রূপটিই ক্রমাগত ফলাফল তৈরি করে, যে কারণে এটি DevSecOps-এর পাশে থাকার চেয়ে বরং এর সাথে বেশি মানানসই।
এআই পেন্টেস্টিং টুলগুলি কীভাবে মূল্যায়ন করবেন
এই বিভাগের ডেমোগুলো অসাধারণভাবে চিত্তাকর্ষক। এই সাতটি প্রশ্ন ডেমোতে টিকে থাকে।
| নির্ণায়ক | জিজ্ঞাসা করার প্রশ্নটি হলো | কেন এটি বিক্রেতাদের আলাদা করে |
|---|---|---|
| প্রমান | অনুসন্ধানে কি অনুরোধ, প্রতিক্রিয়া এবং ব্যবহৃত পেলোড অন্তর্ভুক্ত থাকে? | প্রমাণ ছাড়া, প্রকৌশলীরা বিষয়টি স্পর্শ করার আগে কেউ একজন হাতে-কলমে পুনরায় যাচাই করে নেয়। |
| মিথ্যা ইতিবাচক | দাবি করা কোনো এক্সপ্লয়েট যদি বাস্তব না হয়, তাহলে কী হয়? | সক্রিয় ব্যবস্থাগুলো বিভ্রম সৃষ্টি করে। প্রমাণের ভিত্তিতে অগ্রাধিকার নির্ধারণই একমাত্র পরিমাপযোগ্য সমাধান। |
| যেখানে এটি চলে | আপনার পরিকাঠামোর ভেতরে, নাকি আপনার ট্র্যাফিক এর বাইরে চলে যায়? | অভ্যন্তরীণ অ্যাপ্লিকেশন এবং নিয়ন্ত্রিত এস্টেটগুলোর কারণে শুধুমাত্র ক্লাউড-ভিত্তিক কোনো কিছুই ব্যবহার করা যায় না। |
| প্রমাণীকৃত কভারেজ | এটা কি পিছনে পরীক্ষা করতে পারে loginটোকেন রিফ্রেশ সহ? | অধিকাংশ ব্যবসায়িক যুক্তি প্রমাণীকরণের আড়ালে থাকে। প্রমাণীকরণবিহীন স্ক্যানে তা ধরা পড়ে না। |
| Pipeline ফিট | এটি কি CI-তে চলে এবং বিল্ড ব্যর্থ করে, নাকি শুধু কনসোলে? | যে টুলে লগ ইন করার প্রয়োজন হয়, সেটি অবিচ্ছিন্নভাবে নয়, বরং ত্রৈমাসিকভাবে চালানো হয়। |
| অনুবন্ধ | রানটাইম ফাইন্ডিংগুলো কি আপনার স্ট্যাটিক এবং ডিপেন্ডেন্সি ফাইন্ডিংগুলোর সাথে সংযুক্ত? | একই এন্ডপয়েন্টে কোনো স্ট্যাটিক ফাইন্ডিং-এর সাথে রানটাইম ফাইন্ডিং-এর মিল পাওয়া একটি অনেক বেশি শক্তিশালী সংকেত। |
| প্রতিকার হস্তান্তর | এই আবিষ্কার কি কোনো সমাধান নিয়ে আসে, নাকি সাথে কিছু বাড়ির কাজও জুড়ে দেয়? | গবেষণালব্ধ ফলাফল তখনই বাস্তব রূপ পায়, যখন প্রকৌশলবিদ্যা তা গ্রহণ করে। |
শেষের তিনটি ক্ষেত্রেই এই বিভাগের বেশিরভাগই সবচেয়ে দুর্বল। স্বতন্ত্র এজেন্টিক পেন্টেস্টিং টুলগুলো একটি আলাদা কনসোলে চমৎকার ফলাফল প্রকাশ করে, এবং সেই আলাদা কনসোলটি হলো চতুর্থ একটি সারি যা কেউ বাছাই করে না।
এজেন্টিক পেন্টেস্টিং এখনও যা করতে পারে না
বিষয়টি স্পষ্টভাবে বলা প্রয়োজন, কারণ মানদণ্ড এবং উৎপাদনের মধ্যে ব্যবধান অনেক বেশি।
প্রকাশিত বেঞ্চমার্কগুলো ল্যাব ও বাস্তব ফলাফলের মধ্যে একটি বড় ধরনের পার্থক্য দেখায়: এজেন্টরা বিবরণসহ সাজানো চ্যালেঞ্জগুলোর বিরুদ্ধে চিত্তাকর্ষক পারফর্ম করলেও, ওপেন বেঞ্চমার্কে তারা প্রকৃত CVE-এর একটি ক্ষুদ্র অংশই সমাধান করে। স্বয়ংক্রিয় সিস্টেমগুলো এক্সপ্লয়েট নিয়েও ভ্রান্ত ধারণা তৈরি করে, এবং আত্মবিশ্বাসের সাথে রিপোর্ট করা এমন কোনো কম্প্রোমাইজ যা আসলে ঘটেনি, তা একটি ভুল অনুসন্ধানের চেয়েও বেশি বিশ্বাসযোগ্যতা নষ্ট করে।
নিয়ন্ত্রক সংস্থার অনুমোদন প্রক্রিয়াতেও কোনো পরিবর্তন আসেনি। PCI DSS 4.0-এর জন্য এখনও মানব-সত্যায়িত পদ্ধতি এবং একজন যোগ্য পরীক্ষকের প্রয়োজন হয়। এজেন্টিক পেন্টেস্টিং সারা বছর ধরে এর পরিধি বিস্তৃত করে। তবে এটি স্বাক্ষরকারী ব্যক্তিকে বাদ দেয় না।
২০২৬ সালের কার্যকর মডেলটি হলো শ্রম বিভাজন। এজেন্টরা ব্যাপকতা ও নিরবচ্ছিন্ন পরিধির অধিকারী হবে। আর মানুষ বিচার-বিবেচনা, বৈধতা প্রদান এবং সত্যায়নের দায়িত্বে থাকবে।
প্রমাণ, রায় নয়
Xygeni DAST এই পরীক্ষাগুলো প্রতি তিন মাস অন্তর না করে, বরং প্রতিটি বিল্ডের সময় বাইরে থেকে অ্যাপ্লিকেশন এবং এপিআই (API) চালায়। প্রতিটি প্রাপ্ত ফলাফলের সাথে এর তীব্রতা, CWE শ্রেণিবিভাগ, ব্যবহৃত পেলোড, প্রভাবিত এন্ডপয়েন্ট এবং সম্পূর্ণ HTTP অনুরোধ ও প্রতিক্রিয়া সংযুক্ত থাকে, ফলে একজন ডেভেলপার পুনরায় যাচাই না করেই সে অনুযায়ী ব্যবস্থা নিতে পারেন। এটি প্রচলিত ওয়েব অ্যাপ্লিকেশন, সিঙ্গেল-পেজ অ্যাপ্লিকেশন, OpenAPI বর্ণনা থেকে তৈরি REST API, স্কিমা বা ইন্ট্রোস্পেকশনের মাধ্যমে GraphQL, SOAP এবং Postman কালেকশনকে অন্তর্ভুক্ত করে, এবং ফর্মের মাধ্যমে প্রমাণীকৃত পরীক্ষাও করে থাকে। loginবেয়ারার টোকেন, রিফ্রেশ সহ OAuth2 পাসওয়ার্ড গ্রান্ট, এবং ক্লায়েন্ট সার্টিফিকেট।
এটি সেখানেই চলে যেখানে আপনার অ্যাপ্লিকেশনগুলো চলে। একটি কন্টেইনার, শুধুমাত্র কমান্ড লাইন, কোনো GUI বা প্রক্সি ছাড়াই ডেপ্লয় করা যায়, আপনার নিজের ক্লাউডের ভেতরে। on-premiseএয়ার-গ্যাপড সংযোগ সহ। এর ফলেই এটি এমন অভ্যন্তরীণ অ্যাপ্লিকেশনগুলিতে পৌঁছাতে পারে যা কখনও ইন্টারনেটের সংস্পর্শে আসে না এবং বাইরের কোনো পরিষেবার জন্য কিছুই উন্মুক্ত থাকে না। NIS2, DORA বা ENS-এর অধীনে থাকা একজন ইউরোপীয় ক্রেতার জন্য, এটিই সাধারণত প্রথম প্রশ্ন, শেষ নয়।
এআই ট্রায়েজ প্রমাণগুলো খতিয়ে দেখা হয় একটিমাত্র ফাইন্ডিং-এর জন্য চাহিদা অনুযায়ী অথবা একটি স্ক্যান জুড়ে একসাথে অনেকগুলো ফাইন্ডিং পাওয়া যায়, ফলে আউটপুটটি একটি একক তীব্রতার তালিকা হিসেবে না এসে, শুধুমাত্র উৎপাদনের জন্য হুমকিস্বরূপ বিষয়গুলোর মধ্যেই সীমাবদ্ধ থাকে। DAST জুড়ে ফাইন্ডিংগুলো পরস্পরের সাথে সম্পর্কযুক্ত। এপিআই নিরাপত্তা, এবং SASTএবং আপনার ইতিমধ্যে পরিচালিত অন্য সবকিছুর মতোই একই ঝুঁকি মডেলে অন্তর্ভুক্ত হবে, যার মধ্যে এমন টুলগুলো থেকে প্রাপ্ত তথ্যও থাকবে যা আপনি প্রতিস্থাপন করছেন না।
শেষের এই কথাটাই হলো বাণিজ্যিক যুক্তিটা এক কথায়। বেশিরভাগ এআই পেন্টেস্টিং টুল আপনাকে আরও ভালো একটি কিউ দেয়। এর মূল্যটাই হলো এমন একটি কিউ থাকা।
যে পঞ্চাশ সপ্তাহ আপনি পরীক্ষা করছেন না, তা পরীক্ষা করুন।
বার্ষিক পেন্টেস্টিং আপনাকে পনেরো দিনের মধ্যেই বলে দিয়েছে কোনটা সত্যি। এখন যে প্রশ্নের উত্তর দেওয়া প্রয়োজন তা হলো, আজ সকালে আপনি যে বিল্ডটি পাঠিয়েছেন এবং তার পরেরটিতে, কোনটি সত্যি।
জাইজেনি আপনার নিজস্ব পরিকাঠামোর ভেতরে চলমান অ্যাপ্লিকেশন এবং এপিআই ক্রমাগত পরীক্ষা করে। এতে প্রতিটি প্রাপ্ত ফলাফলের সাথে অনুরোধ ও প্রতিক্রিয়া সংযুক্ত থাকে এবং তীব্রতার লেবেলের পরিবর্তে সেই প্রমাণের উপর ভিত্তি করে এআই ট্রায়েজ করা হয়। প্রাপ্ত ফলাফলগুলো আপনার কোড, নির্ভরতা এবং অন্যান্য ঝুঁকির মডেলের অন্তর্ভুক্ত হয়। pipeline প্রাপ্ত ফলাফল, যার মধ্যে এমন সরঞ্জাম থেকে গৃহীত তথ্যও রয়েছে যা আপনি প্রতিস্থাপন করছেন না।
একটি ডেমো তফসিল নিজের পরিবেশের বিপরীতে এর গতি দেখতে।
FAQ
এআই পেন্টেস্টিং টুলগুলো কী?
নিরাপত্তা পরীক্ষার টুল, যা ব্যবহারযোগ্য দুর্বলতা খুঁজে বের করতে ও যাচাই করতে কৃত্রিম বুদ্ধিমত্তা (AI) ব্যবহার করে; এর মধ্যে রয়েছে মানুষের পরীক্ষকের কাজকে দ্রুততর করা কো-পাইলট থেকে শুরু করে প্রতিটি ধাপের নির্দেশনা ছাড়াই একটি লক্ষ্যের দিকে ধাপে ধাপে এগিয়ে যাওয়া স্বয়ংক্রিয় এজেন্ট পর্যন্ত।
এজেন্টিক পেন্টেস্টিং এবং অটোমেটেড পেন্টেস্টিং কি একই জিনিস?
না। অটোমেশন একটি নির্দিষ্ট পদ্ধতিকে আরও দ্রুত পুনরাবৃত্তি করে। এজেন্টিক পেন্টেস্টিং পূর্ববর্তী ধাপের ফলাফলের উপর ভিত্তি করে পরবর্তী ধাপে কী চেষ্টা করতে হবে তা বিচার করে, আর একারণেই এটি এমন সব সিদ্ধান্তে পৌঁছায় যা একটি নির্দিষ্ট স্ক্রিপ্ট পারে না।
এআই পেন্টেস্টিং টুল কি মানুষের করা পেনিট্রেশন টেস্টের বিকল্প হতে পারে?
যেখানে নিয়ন্ত্রক সংস্থা প্রত্যয়নপত্র চায়, সেখানে নয়, এবং সৃজনশীল কাজের জন্যও নয়। এগুলো এই ধারণাটিকে প্রতিস্থাপন করে যে বছরে দুবার পরীক্ষা করা হয়।
এআই পেন্টেস্টিং টুলগুলি কীভাবে খাপ খায় CI/CD?
সার্জারির pipeline-নেটিভ শেপটি যেকোনো CI সিস্টেমে একটি কন্টেইনার হিসেবে চলে, এবং এর একটি সেভিয়ারিটি থ্রেশহোল্ড থাকে যা বিল্ডটিকে ব্যর্থ করে দেয়। অন্যান্য শেপগুলো সাধারণত তাদের নিজস্ব সময়সূচী অনুযায়ী ডেপ্লয়েড এনভায়রনমেন্টে চলে।
মাঝারি আকারের একটি দলের প্রথমে কী কেনা উচিত?
বেশিরভাগ ক্ষেত্রেই, নিরবচ্ছিন্ন রানটাইম টেস্টিং করা হয়। এটি সেই সপ্তাহগুলো কভার করে যা একটি বার্ষিক কার্যক্রমে অন্তর্ভুক্ত থাকে না, এবং এর মাধ্যমে এমন প্রমাণ পাওয়া যায় যার ওপর ভিত্তি করে আপনার বিদ্যমান দল নতুন কর্মী নিয়োগ ছাড়াই কাজ করতে পারে।
