Pentest con agenti AI: cosa sono e quali tool si auto-ospitano su VPS

Un comunicato tecnico pubblicato oggi sul blog di Contabo mette ordine su un argomento che da qualche mese circola nei team di sicurezza: il penetration testing fatto girare da agenti basati su modelli linguistici, non da scanner a firme e non (solo) da operatori umani. Per chi amministra server in produzione la domanda pratica è una sola: su cosa lo si fa girare, e quanta macchina serve.

Cosa cambia rispetto a uno scanner classico

Il flusso descritto da Contabo si articola in quattro fasi: ricognizione della superficie esposta, scansione delle vulnerabilità note, simulazione dell'exploit e stesura del report con passi di riproduzione. A differenza di uno scanner tradizionale, che segue un regolamento fisso, l'agente AI ragiona sul bersaglio, incatena gli strumenti e prova a sfruttare ciò che trova. Il punto di rottura rispetto ai tool a pattern-matching sta proprio qui: un classico scanner segnala una vulnerabilità "possibile" e lascia a un umano la conferma; un agente LLM genera payload contestuali e, nei tool più capaci, arriva a una proof-of-concept funzionante.

Contabo distingue questo filone dal testing di sicurezza sui modelli stessi (prompt injection, data leakage, jailbreak), disciplina separata che riguarda chi integra un LLM dentro il proprio prodotto, non chi usa un LLM per testare altro.

I tool open source citati e il self-hosting

Tra i progetti segnalati come auto-ospitabili via Docker figura Strix, che su GitHub ha superato le 60.000 stelle ed è rilasciato con licenza Apache-2.0: è un pacchetto Python con licenza Apache-2.0 e più di 60.000 stelle su GitHub, che gira sull'hardware dell'utente, contro i propri target, con qualsiasi modello si scelga. Accanto a Strix, Contabo cita PentestGPT come copilota per tester manuali, Nuclei con template generati via AI per scansioni su larga scala, e OWASP ZAP come scanner web consolidato con add-on AI in arrivo.

Quanta VPS serve

Per il dimensionamento Contabo propone due soglie: il Cloud VPS 8 per i tool che chiamano un'API LLM hosted (footprint leggero), e il salto a un Cloud VDS con vCore dedicati se il ragionamento gira su modello locale, dove la RAM diventa il collo di bottiglia. Sul listino ufficiale, il Cloud VPS 8 offre 8 vCPU, 24 GB di RAM e 300 GB SSD (oppure 150 GB NVMe), a partire da 14,00 euro al mese IVA inclusa nei primi 24 mesi (fonte: listino Contabo, consultato il 5 ottobre 2026).

Resta il tema legale, che Contabo ribadisce esplicitamente: va eseguito solo su sistemi di proprietà o con autorizzazione scritta esplicita, indipendentemente da chi — umano o agente — materialmente lancia lo scan.