IAST, o Interactive Application Security Testing, è un metodo di test di sicurezza che ispeziona un'applicazione dall'interno mentre è in esecuzione. A differenza di uno scanner statico che esamina solo il codice sorgente, o di uno strumento DAST esterno che esegue verifiche dall'esterno, l'IAST usa in genere un agente integrato nell'app per osservare l'esecuzione, gli input e le chiamate a funzioni sensibili. Questa visibilità a runtime aiuta a identificare flussi di dati rischiosi, configurazioni insicure e percorsi sfruttabili con più contesto.
L'IAST è importante perché può mostrare come una vulnerabilità si comporta durante la normale attività dell'applicazione, incluso durante il traffico di QA o i test automatizzati. I team di sicurezza lo usano per individuare problemi come input utente manomessi che raggiungono una query al database, una scrittura su file o un percorso di esecuzione di comandi. In difesa, il vantaggio è pratico: meno falsi positivi, prove migliori sui percorsi del codice e una prioritizzazione più semplice per gli sviluppatori. Negli attacchi, gli stessi percorsi runtime sono quelli che gli avversari cercano di sfruttare, quindi l'IAST aiuta i difensori a vedere dove la gestione degli input e il flusso di controllo sono deboli.