Achtergrond
Penetratietesten (pentests) zijn essentieel voor het inzichtelijk maken van beveiligingsrisico’s, maar kennen ook veel repeterende en tijdsintensieve werkzaamheden. Denk hierbij aan intake en voorbereiding, het uitvoeren van terugkerende testcases, het verzamelen van bewijsmateriaal en het opstellen van rapportages.
De snelle ontwikkeling van AI en agentic AI-systemen (waarbij AI autonoom taken kan plannen en uitvoeren) biedt kansen om deze processen gedeeltelijk of volledig te automatiseren, zonder de kwaliteit en professional judgement van de pentester te verliezen.
Binnen nSEC willen we onderzoeken hoe een AI-gedreven systeem kan worden ontworpen dat pentesters ondersteunt bij hun werk, met focus op betrouwbaarheid, controleerbaarheid en verantwoord gebruik.
Opdrachtomschrijving
De student voert een onderzoek en ontwerptraject uit naar een platform (bijvoorbeeld een webapplicatie of agentic AI-architectuur) dat ondersteuning biedt bij:
- Automatisering van pentestvoorbereiding
- Vertalen van klantintake en testplannen naar voorbereidingen zoals gedetailleerde technische testinstructies
- Automatisering van herhaalbare testactiviteiten
- (Gedeeltelijk) automatisch uitvoeren van standaard testcases
- Ondersteuning bij Web/API/WebSocket tests
- Vastleggen van testresultaten en bewijsmateriaal
- Genereren van concept-findingen
- Automatisering van rapportage
- Structureren van bevindingen
- Genereren van concept-rapportages
- Consistente terminologie, risicoklassificatie en aanbevelingen
De nadruk ligt op ontwerpkeuzes en haalbaarheid, niet op het volledig bouwen van een productieklare tool.
Onderzoeksvragen (indicatief)
- Welke onderdelen van het pentestproces zijn geschikt voor (agentic) AI-automatisering?
- Welke risico’s (bijv. hallucinations, false positives, bias) brengt AI-gebruik in pentesten met zich mee?
- Hoe kan menselijke controle (“human-in-the-loop”) effectief worden ingericht?
- Welke architectuur (bijv. agents, workflows, tools, LLM-integratie) is geschikt?
- Hoe kan herbruikbaarheid en traceerbaarheid van testresultaten worden gewaarborgd?
Verwachte resultaten (indicatief)
Afhankelijk van het type stage (meewerk- of afstudeerstage):
- Een onderzoeksrapport met analyse, randvoorwaarden en aanbevelingen
- Een architectuurontwerp (bijv. componentdiagrammen, dataflows)
- Een conceptueel datamodel of workflow
- Optioneel: een Proof of Concept
- bijv. een eenvoudige webapp
- of een agentic AI-demo (bijv. intake → testplan → concept-finding)