Netwalker: AI pentest agent ที่รันบน GPU ของเราเอง

Netwalker คือ AI pentest agent ของ MAYASEVEN ใช้ในงานทดสอบเจาะระบบของเราเป็นเครื่องมือมาตรฐาน AI อย่างเดียวทำงานเร็วแต่มักรายงานผิด ส่วนผู้เชี่ยวชาญมีเวลาจำกัดในแต่ละงาน เราจึงให้ทั้งสองทำงานด้วยกัน Netwalker ไล่สำรวจและทดสอบ attack surface อย่างละเอียด ส่วนผู้เชี่ยวชาญเป็นผู้พิสูจน์ว่าอะไรคือช่องโหว่จริง คุณได้ทั้งความเร็วและความแน่นอนในรายงานฉบับเดียว

• รูปแบบการทดสอบ: White Box, Black Box และ Gray Box
• ระบบที่ทดสอบ: Web Application, Mobile Application และ Integration Testing
• ตัวอย่างจากงานเปิดตัว: Netwalker ทดสอบเว็บอีคอมเมิร์ซตัวอย่าง พบช่องโหว่มากกว่า 30 รายการในเวลาไม่ถึง 10 นาที

เราทดสอบ Netwalker แบบเดียวกับที่ห้องแล็บ AI ทดสอบโมเดลของตัวเอง คือตรวจด้วยเครื่องจากคำตอบที่ถูกต้องเป๊ะ มี 2 ชุดทดสอบ คือการเจาะระบบและการอ่านโค้ด ลูกค้าเลือกช่องโหว่ที่จะทดสอบเองได้ และเราส่งผลการรันที่ตรวจคะแนนแล้วทั้งหมดให้ดู

ชุดที่ 1: เจาะระบบ 104 เป้าหมาย ได้ flag หรือได้ศูนย์

ชุดโจทย์สาธารณะ 104 ข้อ agent ต้องได้ flag ที่ถูกต้องเป๊ะ ไม่อย่างนั้นได้ศูนย์ ไม่มีคะแนนบางส่วน

ชุดที่ 2: ช่องโหว่จริง 255 รายการที่ AI ไม่เคยเห็น พบ 238

benchmark จะไม่มีความหมายถ้าโมเดลเคยอ่านเฉลยมาแล้ว เราจึงใช้เฉพาะ CVE จริงที่เผยแพร่หลังจากโมเดลหยุดเรียนรู้ และเพิ่ม CVE ใหม่ทุกเดือน เรารันครบทั้ง 255 รายการ ไม่สุ่มตัวอย่าง

• พบช่องโหว่และระบุประเภทถูกต้อง 238/255 (93%) เทียบกับเครื่องมือสแกนโค้ดทั่วไปที่ประมาณ 9%
• ได้เต็ม 100% ใน 3 จาก 8 ประเภท ได้แก่ command injection (16/16), deserialization (14/14) และ XXE (5/5)
• แยกตามภาษา: JavaScript 45/45 · PHP 43/45 · Java 42/45 · Python 42/45 · Go 39/45 · Ruby 27/30
• มาจาก 167 โครงการจริง เช่น Rails, Hugo, Ghost, Gitea, Mattermost, Apache Camel, Open WebUI และ LiteLLM (CVE ช่วง ม.ค.–ก.ย. 2569)

ความสามารถอ่านโค้ดแล้วชี้ช่องโหว่ได้แม่นยำแบบนี้ ใช้ทั้งในการตรวจสอบซอร์สโค้ดและการทดสอบแบบ white box

• ไม่มีช่องโหว่ที่แต่งขึ้น: ช่องโหว่จะนับก็ต่อเมื่อปรากฏใน response จริงที่บันทึกจากระบบของคุณ agent รายงานได้เฉพาะสิ่งที่เป้าหมายตอบกลับมาจริง
• ทำซ้ำได้: ทุกรายการมี proof of concept ทีละขั้นตอนพร้อมวิธีแก้ ทีมของคุณลงมือแก้ได้ทันที
• มีผู้รับผิดชอบ: ทุกรายงานลงชื่อโดยผู้เชี่ยวชาญที่ถือใบรับรอง เช่น OSCP, OSCE และ eWPTX เครื่องไม่เคยเป็นผู้ลงชื่อ

Netwalker ใช้ในงานทดสอบเจาะระบบ (Penetration Testing) และตรวจสอบซอร์สโค้ดของ MAYASEVEN โดยทีมของเราเป็นผู้ใช้งานภายในงานที่คุณจ้าง คุณไม่ต้องติดตั้งหรือดูแลระบบใด ๆ เอง