IAST (Interactive Application Security Testing)

Agentes IAST são carregados no processo da aplicação (via hooks do runtime da linguagem) e observam fluxos de dados, chamadas de função e requisições HTTP em tempo real. Combinando a visão interna do SAST com o contexto de execução do DAST, o IAST consegue confirmar se uma entrada contaminada realmente chega a um sink perigoso, o que reduz muito os falsos positivos e indica a linha vulnerável. Em geral roda durante testes funcionais ou QA, não em produção. O IAST funciona melhor em linguagens instrumentáveis como Java, .NET, Node.js e Python; exemplos: Contrast Security, Checkmarx CxIAST e Seeker.