Test penetracyjny z minimalną wiedzą (black box) – w największym stopniu stara się odzwierciedlić rzeczywistą wiedzę potencjalnego włamywacza, w związku z czym zespół testujący otrzymuje np. wyłącznie adres serwisu i nic ponadto. Wadą tej metody jest możliwość poświęcenia przez zespół nieproporcjonalnie dużych ilości czasu na działania bezproduktywne, np. próbę złamania hasła na wejściu do serwisu w sytuacji, gdy autentyczny włamywacz mógłby tę wiedzę zdobyć innymi metodami (np. za pomocą phishingu lub metod wiążących się ze złamaniem prawa). Według wytycznych PCI SSC test black box może wymagać więcej czasu, pieniędzy i zasobów, a testy grey box i white box dają dokładniejsze wyniki i pełniej sprawdzają stan bezpieczeństwa środowiska. Testy penetracyjne grey box będące kompromisem pomiędzy black box i white box, zawierające elementy obu podejść np. jedynie konta użytkowników o różnych rolach. Konta te pozwalają sprawdzić, czy użytkownik danej roli może uzyskać dostęp do danych lub funkcji, do których nie jest uprawniony. Testuje się przy tym eskalację uprawnień pionową, czyli dostęp do zasobów kont o wyższych uprawnieniach, np. przejęcie uprawnień administratora aplikacji, oraz poziomą, czyli dostęp do zasobów innego użytkownika o podobnych uprawnieniach, np.