Automatisierte Penetrationstests mit Burp AT
PortSwigger hat die öffentliche Betaversion von Burp AT angekündigt – eine Erweiterung für Burp Suite, die agentic AI direkt in professionelle Penetrationstests integriert. Das System ermöglicht es Security-Profis, definierte Investigationsaufgaben an KI-Agenten zu delegieren, die Burp Suites Toolset, Projektkontext und spezialisierte Pentesting-Features nutzen.
Kontrollierte Automatisierung für Tester
Der entscheidende Aspekt: Burp AT bleibt unter der Kontrolle des Penetration Testers. Während die KI-Agenten automatisiert arbeiten, definiert der Mensch den Umfang der Tests, legt fest, wie intensiv die Automatisierung arbeiten darf, und bleibt für die Validierung der Findings verantwortlich.
PortSwigger setzt dabei auf ein Sicherheitsmodell mit mehreren Ebenen. Die Plattform selbst enforced Scope-Grenzen, Permissions und Approval-Workflows – der Agent kann also nicht einfach außer Kontrolle geraten. Die Verantwortung für strategische Entscheidungen, fachliches Urteilsvermögen und die Interpretation von Ergebnissen bleibt beim Tester.
Integration in den bestehenden Workflow
Die Integration in Burp Suite ist nahtlos. Die KI-Agenten greifen auf den gleichen Projektkontex, die gleichen Tools und die gleichen Daten zu, mit denen ein Tester ohnehin arbeitet. Das reduziert Umschaltkosten und macht den Einsatz praktikabel für Teams, die bereits Burp Suite im Einsatz haben.
Burp AT adressiert ein echtes Problem im Pentesting: Viele repetitive, zeitaufwändige Investigationsaufgaben – Recon, Pattern-Matching, Baseline-Scans – folgen strukturierten Prozessen. Hier kann ein Agent unter Aufsicht effizient mitarbeiten, während Tester sich auf strategischere Aufgaben konzentrieren.
Was bedeutet das praktisch?
Für große Engagements oder Teams mit hohem Testvolumen könnte Burp AT die Effizienz steigern – nicht durch vollständige Automatisierung, sondern durch intelligente Unterstützung. Der Tester bleibt im Loop, kontrolliert die Eskalation und trägt die volle Verantwortung für das Ergebnis.
Die Public Beta ermöglicht es der Community, das Tool in realen Szenarien zu testen und Feedback zu geben. Ob Burp AT seinen Platz im Pentesting-Workflow behauptet, wird sich zeigen – es hängt davon ab, wie verlässlich die Agenten arbeiten und wie gut sie sich anpassen lassen.