OWASP Juice Shop
Applicazione didattica che copre molte categorie di vulnerabilità.
home / benchmark
benchmark pubblico
Benchmark: penetration test con AI e scanner a confronto
Il benchmark confronta il sistema con scanner noti su applicazioni vulnerabili di test. Il metodo è scritto prima dei risultati.
Stato: in preparazione. Nessun risultato è ancora pubblicato. Non citiamo percentuali né confronti finché non sono misurati e pubblicati qui.
bersagli
Applicazioni vulnerabili, note e pubbliche.
DVWA
Applicazione con livelli di difficoltà regolabili.
WebGoat
Lezioni guidate su controllo degli accessi e logica.
Mutillidae
Vulnerabilità classiche e difetti di autorizzazione.
confronto
Confronto con gli scanner che molti già usano.
OWASP ZAP
Scanner di applicazioni web, con scansione attiva e passiva.
Nikto
Scanner di configurazioni e versioni dei server web.
Nuclei
Scanner basato su modelli, con una libreria di controlli aperta.
scanner statici contro AI
Burp Suite, Acunetix, ZAP, Nuclei: potenti sul già noto, limitati sul nuovo.
Gli scanner lavorano su database di firme, modelli e regole: ritrovano ciò che qualcuno ha già descritto. Un penetration test assistito da AI può usare gli stessi strumenti e in più ragionare sull'applicazione: capire i ruoli, formulare ipotesi, concatenare passaggi. È la parte che uno scanner non vede, e che spesso sfugge anche a un revisore umano con tutto il tempo.
Stima di scenario, non misura. Le percentuali sotto sono un modello di capacità per classe di vulnerabilità, costruito dalle caratteristiche note degli strumenti. Non sono risultati del benchmark: quelli saranno pubblicati qui solo dopo la misura, con comandi e versioni.
Copertura stimata per classe di vulnerabilità
CVE e firme note
Nuclei92%
Acunetix88%
Burp Scanner84%
ZAP72%
AI + strumenti94%
Configurazioni errate
Nuclei80%
Acunetix78%
Burp Scanner70%
ZAP65%
AI + strumenti90%
Injection classiche (SQLi, XSS)
Nuclei55%
Acunetix85%
Burp Scanner88%
ZAP70%
AI + strumenti92%
Controllo accessi (IDOR/BOLA)
Nuclei8%
Acunetix12%
Burp Scanner18%
ZAP10%
AI + strumenti78%
Logica di business
Nuclei2%
Acunetix4%
Burp Scanner6%
ZAP3%
AI + strumenti64%
Catene multi-step (auth, race, stato)
Nuclei1%
Acunetix3%
Burp Scanner5%
ZAP2%
AI + strumenti58%
Dove gli scanner bastano
Firme, CVE note, intestazioni e configurazioni: veloci, ripetibili, economici. Il test assistito da AI li usa, non li sostituisce.
Dove serve il ragionamento
Accessi tra ruoli, regole di business, stato e sequenze: non esiste una firma da cercare, serve capire l'applicazione.
Dove l'umano si ferma
Migliaia di combinazioni di ruolo, endpoint e stato: il test le prova tutte, a ogni rilascio, senza stancarsi.
ottobre 2026
Ottobre 2026: i bug bounty chiudono sotto il peso delle segnalazioni automatiche.
Un'analisi onesta: i programmi non si fermano perché arrivano troppe vulnerabilità critiche vere, ma perché arrivano troppi report automatici non verificati. È il motivo per cui conta la prova: un'evidenza riproducibile, non un'ipotesi.
- Inizio 2026 · curl chiude il bounty su HackerOne, sommerso da falsi positivi generati da modelli.
- Marzo · Bugcrowd riporta oltre il quadruplo di segnalazioni in tre settimane, in gran parte false.
- Aprile · Nextcloud sospende il programma a pagamento.
- Settembre · Intel smette di pagare ricompense in denaro, poi mette in pausa il programma.
- 1 ottobre · Google sospende il Open Source VRP per le vulnerabilità di prodotto, fino ad almeno il primo trimestre 2027.
Cosa ne deriva. Chi riceve segnalazioni ha bisogno di meno volume e più prova. Per questo consegniamo solo vulnerabilità verificate, con passi per riprodurli, e la revisione umana resta nel processo. Fonti: Malwarebytes, BleepingComputer, TechTarget, Decrypt.
metriche
Cosa misuriamo, con le stesse regole per tutti.
| Metrica | Significato |
|---|---|
| Veri positivi | Vulnerabilità reali, verificate manualmente sul bersaglio |
| Falsi positivi | Segnalazioni che non corrispondono a vulnerabilità reali (falsi positivi) |
| Falsi negativi | Vulnerabilità note del bersaglio non rilevate |
| Trovati solo da noi | Vulnerabilità reali non rilevate dagli scanner di confronto |
| Tempo | Dall'avvio alla consegna dell'elenco dei risultati |
| Ore di revisione | Tempo umano per verificare il risultato |
pubblicazione
Pubblichiamo anche i risultati deboli.
Metodo prima dei dati
Il metodo è pubblicato prima di ogni misura e non cambia dopo.
Comandi con i risultati
Comandi e versioni usati, per poter ripetere la misura.
Dove perdiamo
Se uno scanner trova qualcosa che noi non troviamo, lo scriviamo.