Ein klassischer Schwachstellen-Scan findet, was seine Signaturen kennen. Ein Pentester findet, was sich aus dem Zusammenspiel mehrerer kleiner Schwächen ergibt – und genau diese Lücke schließt der neue KI-Pentest-Agent in SecTepe SnapScan. Statt nur reconftw-Module abzuarbeiten, lässt sich jetzt eine agentische LLM-Engine als Scan-Typ wählen, die eigenständig aufklärt, Hypothesen bildet, sie prüft und die Ergebnisse in dieselbe normalisierte Finding-Struktur schreibt wie jeder andere Scan.
Drei Engines zur Auswahl: reconftw, KI, Beides
Beim Anlegen eines Scans stehen nun drei Engine-Optionen bereit: die bewährte reconftw-Pipeline, die neue KI-Engine und Beides – letzteres verkettet reconftw-Aufklärung und KI-Analyse und führt die Findings zusammen. So bekommt man die Breite eines deterministischen Recons und die Tiefe einer agentischen Analyse in einem Lauf, ohne zwei Scans manuell verbinden zu müssen.
Was die agentische Engine anders macht
- Headless über die Claude Code CLI: der Agent läuft vollständig serverseitig in einem eigenen Container (
Dockerfile.agent), ohne dass ein Mensch neben dem Terminal sitzt. - Surface-Inventar & Coverage-Ledger: der Agent führt Buch darüber, welche Teile der Angriffsfläche er schon berührt hat, und ein Gate stellt sicher, dass die gesamte Anwendung abgedeckt wird – statt sich in einem einzigen interessanten Endpunkt zu verlieren.
- Cold-Resume gegen Context-Bloat: pro Arbeitspaket startet der Agent eine frische Session, statt den Kontext endlos wachsen zu lassen. Das hält die Analyse fokussiert und die Kosten planbar.
- Adaptiver Idle-Watchdog: ein fester Wanduhr-Timeout wurde durch einen Watchdog ersetzt, der erkennt, wann der Agent tatsächlich nicht mehr produktiv arbeitet – und erst dann abbricht.
- Version-zu-CVE, service-first: erkannte Dienst- und Softwareversionen werden gezielt gegen bekannte CVEs abgeglichen, bevor überhaupt aktiv getestet wird.
Kostenkontrolle ist eingebaut, nicht optional
Agentische Modelle können teuer werden, wenn man sie unbeaufsichtigt laufen lässt. SnapScan begegnet dem auf mehreren Ebenen: Der Standard läuft auf einem leistungsstarken Modell, degradiert aber nach unproduktiven Läufen automatisch auf ein günstigeres, schnelleres Modell (Cost-Downgrade). Über AGENT_*-Budgetgrenzen lässt sich ein harter Deckel setzen, und pro Scan kann das Modell über scanParameters.model überschrieben werden. Authentifiziert wird über CLAUDE_CODE_OAUTH_TOKEN bzw. ANTHROPIC_API_KEY.
Live-Findings und Angriffsketten-Timeline im Cockpit
Der Fortschritt bleibt nicht in einem Log verborgen: Findings des KI-Agenten streamen live ins Frontend, das Agent-Cockpit scrollt automatisch mit, und eine Angriffsketten-Timeline zeigt nachvollziehbar, welche Schritte der Agent in welcher Reihenfolge unternommen hat. So wird aus einer Blackbox eine prüfbare Kette – wichtig für den Report und für das Vertrauen in das Ergebnis.
Wie sich das in die SecTepe-Suite einfügt
Die KI-Engine ergänzt die übrigen Neuerungen in SnapScan: die In-Network-Runner und die gehärtete Appliance bringen den Agenten sicher ins Kundennetz, die Active-Exploitation-Modi liefern verifizierbare Belege statt bloßer Vermutungen, und über den MCP-Findings-Export fließen die Ergebnisse governiert in nachgelagerte Systeme wie SecTepe.Core.
Fazit
Der KI-Pentest-Agent macht aus SnapScan mehr als einen Scanner: eine Plattform, die selbstständig aufklärt, Angriffsketten bildet und sie transparent dokumentiert – mit eingebauter Kostenkontrolle und voller Nachvollziehbarkeit. Wer Pentest-Kapazität skalieren muss, ohne die Qualität einer manuellen Analyse zu verlieren, bekommt hier einen belastbaren Baustein.