Точно, облачный пентест — это про понимание прав доступа и умение цеплять одно разрешение к другому через API, а не про обычные уязвимости. Иногда можно долго копаться в политиках и ролях, пока не найдёшь, где можно что-то подцепить. Снаружи особо ничего не увидишь, если не знаешь, как эти связи работают внутри.