ИИ-модели всё лучше читают исходники и находят подозрительные места в коде, но этого недостаточно.
Главный вывод из оценки Mythos от XBOW: статическое чтение кода помогает строить гипотезы, но не доказывает реальную эксплуатацию.
Уязвимость часто возникает не в одной строке, а на стыке кода, конфигурации, зависимостей, ролей, окружения и поведения приложения.
Поэтому доступ к живому приложению и динамический анализ могут быть важнее, чем просто доступ к репозиторию.
Без проверки в рантайме мы получаем поток потенциальных находок, среди которых сложно понять реальный риск.
С динамической проверкой AI-пентестер может подтвердить уязвимость, собрать PoC, показать impact и помочь правильно расставить приоритеты.

https://xbow.com/blog/mythos-offensive-security-xbow-evaluation