Последние два года DAST (Dynamic Application Security Testing или динамическое тестирование безопасности приложений) на схемах DevSecOps рисуют одинаково: прямоугольник после deploy, внутри — ZAP или Nuclei. Сканер получил адрес стенда, вернул отчет, джоба позеленела. Только по зеленой джобе не понять, что проверено. Скан вполне мог закончиться без серьезных находок, потому что до них просто не дошел.

Меня зовут Даниил Слюсарь, я руковожу разработкой продуктов AppSec в Positive Technologies. Разберем, что внутри этого прямоугольника, какие задачи он решает, где ему место в конвейере и почему без него полноценной защиты не получится. В конце статьи приведен чек-лист по правильной интеграции DAST в конвейер разработки. 

Не писал на Хабре 15 лет — всё ждал «свободной недельки». Дождался: за 7 дней, ~210 млн токенов и 8 литров кофе собрал локальный MCP-сервер, который запускает сканеры, ведёт базу файндингов и снимает с безопасника рутину триажа. Под катом: как агенты встраиваются в SSDLC, что происходит под капотом MCP, бенчмарк семи локальных моделей на одной RTX 4060 Ti — с неожиданным победителем — и ответ на главный вопрос, вытеснят ли агенты классический AppSec. Спойлер: рутину — да, архитектуру — нет. Осторожно, сарказм!