For tre uker siden fikk vi en henvendelse fra en norsk fintech-startup. De skulle inn i en stor entrepriseavtale og trengte en penetrasjonstest for å dokumentere sikkerhet.

"Hvor lang tid tar det?" spurte CTO-en.

"Tradisjonelt? Fire til seks uker fra booking til ferdig rapport," svarte vi. "Med Aikido Attack? Timer."

De trodde vi tullet. Vi gjorde det ikke.

48 timer senere hadde de en fullstendig audit-godkjent penetrasjonstestrapport, komplett med bevis, reproduksjonstrinn, og remedierings-veiledning. Rapporten oppfylte SOC 2 og ISO 27001-krav. Og den hadde funnet sårbarheter tradisjonelle skannere ville gått glipp av.

Dette er ikke science fiction. Dette er Aikido Attack.

Hvorfor tradisjonell pentesting ikke holder mål lenger

La oss være ærlige om problemene med tradisjonell penetrasjonstesting:

Det tar uker å få startet

Du må booke en pentester, vente på ledig kapasitet, koordinere tilganger, og så begynner testingen endelig. Dette kan ta mange uker bare for å komme i gang.

Det tar uker å få resultater

Selve testingen tar typisk en til to uker. Deretter skriver konsulentene rapport, noe som tar ytterligere en uke. Totalt snakker vi fire til seks uker fra start til rapport.

Det er ekstremt dyrt

En ordentlig penetrasjonstest koster gjerne fra hundre tusen til flere hundre tusen kroner. For en startup eller scale-up er dette en betydelig investering.

Det er et øyeblikksbilde

Testen gir deg sikkerhetsstatus på én spesifikk dag. Men i mellomtiden shipper utviklingsteamet ny kode kontinuerlig. Nye funksjoner. Nye API-er. Hver kan inneholde sårbarheter.

Kvaliteten varierer

Noen pentestere er briljante. Andre går gjennom en sjekkliste. Du vet ikke hva du får før rapporten kommer.

Aikido Attack: Autonome agenter som tenker som hackere

Aikido Attack er ikke bare "automatisert scanning". Det er noe fundamentalt annerledes: autonome AI-agenter som faktisk resonnerer som hackere.

Hundrevis av spesialiserte agenter

Når en pentest starter, deployer Aikido Attack hundrevis av autonome agenter. Hver agent har sitt spesialområde:

• Noen kartlegger applikasjonens features og endpoints

• Andre fokuserer på spesifikke angrepstyper (injeksjoner, autentisering, etc.)

• Noen ser på forretningslogikk og arbeidsflyter

• Andre validerer om funne sårbarheter faktisk er utnyttbare

Agentene jobber parallelt, som et team av hackere som alle angriper fra ulike vinkler samtidig.

Kontekst fra hele stakken

Her er Aikido sin unike fordel: Fordi Aikido allerede analyserer koden din, API-ene dine, containerne dine, og skyinfrastrukturen din, har Aikido Attack en dypere forståelse av systemet enn noe eksternt pentesting-verktøy noensinne kan ha.

Agentene vet:

• Hvordan koden faktisk er skrevet (white-box)

• Hvilke API-er som finnes og hvordan de kommuniserer

• Hvordan skyinfrastrukturen er konfigurert

• Hvilke containere som kjører og hva de gjør

• Hvordan autentisering og autorisering er implementert

Med denne konteksten kan agentene finne problemer tradisjonelle verktøy går glipp av.

Adaptive og kreative angrep

Aikido Attack-agentene følger ikke bare en sjekkliste. De tilpasser taktikken sin basert på hva de oppdager, akkurat som en menneske-pentester ville gjort.

De kan:

• Kjede sammen flere små svakheter til et faktisk angrep

• Følge multi-steg flyter for å finne workflow-problemer

• Oppdage tillatelsesmismatch mellom frontend og backend

• Finne cross-tenant data-eksponering gjemt bak tilsynelatende harmløse endpoints

• Teste hvordan to features interagerer på uventede måter

Dette er ikke pattern matching. Dette er faktisk resonnering.

Validering av hver finding

Et stort problem med automatiserte verktøy er falske positiver. Aikido Attack løser dette ved å validere hver finding grundig.

For hver potensiell sårbarhet:

• Agentene prøver faktisk å utnytte den

• De verifiserer at utnyttelsen fungerer

• De dokumenterer nøyaktig hvordan angrepet skjer

• De samler bevis som kan reproduseres

Dette betyr at når du får rapporten, er hver finding validert og faktisk utnyttbar. Ikke teoretiske problemer som kanskje ikke betyr noe.

Hva Aikido Attack faktisk finner

La oss være konkrete om hva autonome agenter oppdager som tradisjonelle verktøy går glipp av:

Komplekse forretningslogikk-sårbarheter

Agentene forstår arbeidsflyter og kan finne steder hvor brukere kan hoppe over nødvendige steg. For eksempel: en checkout-prosess hvor du kan fullføre bestillingen uten å faktisk betale ved å manipulere rekkefølgen av API-kall.

Cross-tenant data leakage

I multi-tenant applikasjoner kan agentene oppdage steder hvor én kundes data kan nås av en annen kunde, gjemt bak endpoints som ser trygge ut individuelt.

Tillatelsesmismatch mellom lag

Frontend krever admin-tilgang, men backend-API-et validerer ikke faktisk. Agentene finner disse inkonsekvensene.

Multi-steg angrep

Fem små svakheter som individuelt er harmløse, men når de kjettes sammen på riktig måte gir full systemtilgang. Agentene ser disse kjedene.

Race conditions og timing-baserte sårbarheter

Problemer som bare oppstår når visse operasjoner skjer i en spesifikk rekkefølge eller timing. Agentene tester disse scenariene systematisk.

Fra booking til rapport på timer

Slik fungerer Aikido Attack i praksis:

Steg 1: Definer scope (minutter)

Du kobler Aikido Attack til applikasjonen din og definerer hva som skal testes. Dette tar minutter, ikke dager med koordinering.

Steg 2: Agentene kjører (timer)

Hundrevis av autonome agenter deployes og begynner å teste. De:

• Kartlegger alle features og endpoints

• Tester systematisk hver angrepsvektor

• Validerer hvert funn

• Dokumenterer reproduksjonssteg

Dette skjer parallelt og automatisk. Ingen venting på ledig kapasitet hos en konsulent.

Steg 3: Full rapport (samme dag)

Når agentene er ferdige, får du en fullstendig audit-godkjent rapport som oppfyller SOC 2, ISO 27001, og andre standarder.

Rapporten inneholder:

• Alle validerte sårbarheter

• Bevis for hver finding

• Detaljerte reproduksjonstrinn

• Remedierings-veiledning

• Prioritering basert på faktisk risiko

Fra uker til timer. Fra hundre tusen til en brøkdel.

Hva dette koster

Vi kan tilby Aikido Attack-pentesting fra 7990 NOK og opp til 75 499 NOK, avhengig av hvor omfattende testing dere trenger:

Grunnleggende test (fra 7990 NOK):

• Perfekt for enkle webapplikasjoner eller API-er

• Agentene tester de mest kritiske angrepsvektorene

• Full validering og rapport

• Ideelt for startups som trenger første sikkerhetsvurdering raskt

Omfattende test (opp til 7500 dollar):

• For komplekse applikasjoner med mange komponenter

• Testing av mikrotjenester-økosystem

• Avansert testing av forretningslogikk på tvers av systemer

• Testing av admin-paneler og interne systemer

• Inkluderer veiledning fra våre konsulenter

• Ideelt for virksomheter som trenger audit-godkjent dokumentasjon for ISO 27001 eller SOC 2

Sammenlignet med tradisjonell pentesting hvor du betaler hundre tusen eller mer og venter uker, er dette en revolusjon.

Erstatter dette menneskelig pentesting?

Nei, men det endrer dramatisk hva mennesker skal gjøre:

Aikido Attack er best til:

• Systematisk testing av kjente angrepstyper

• Validering av alle endpoints og features

• Finne logikkfeil og workflow-problemer

• Kjøre tester på timer i stedet for uker

• Produsere audit-godkjente rapporter umiddelbart

Mennesker er fortsatt best til:

• Helt nye, kreative angrepsmetoder ingen har tenkt på

• Dype forretningslogikk-analyser som krever domenekunnskap

• Sosial engineering og ikke-tekniske angrep

• Kontekstuell forståelse av forretningsmessig risiko

Vår anbefaling:

• Bruk Aikido Attack regelmessig (kvartalsvis, før store lanseringer)

• Supplér med menneskelig pentesting årlig for kreativitet

• Resultat: Kontinuerlig sikkerhet pluss menneskelig innsikt

Hva dette betyr for deg som leder

Penetrasjonstesting trenger ikke lenger være noe som tar uker og koster en formue. Med autonome AI-agenter kan du få audit-godkjente pentests på timer.

Spørsmålene du bør stille internt:

• Hvor lenge har det gått siden sist pentest?

• Hvor mange nye funksjoner har vi lansert siden sist?

• Kan vi faktisk vente fire til seks uker på en pentest nå?

• Hva hvis vi kunne teste før hver stor lansering, til en brøkdel av kostnaden?

• Trenger vi faktisk dokumentasjon raskt for en kunde eller investor?

Vi i FM CyberSecurity hjelper norske virksomheter med å kjøre Aikido Attack-pentests. Vi setter ikke bare agentene løs og overlater rapporten til dere. Vi tolker funnene, hjelper med prioritering, og sørger for at sårbarheter faktisk fikses.

For i 2025 kan du ikke lenger vente uker på sikkerhetstesting. Agentene kjører nå, og de kjører raskt.