Infatti potrebbe tornare utile, ma non è fondamentale. Io faccio penetration test da 2 anni e non ho mai avuto la necessità di scrivere una riga di codice, se non per dei PoC da consegnare ai clienti. Il discorso è leggermente diverso se si tratta di fare attività di red teaming o exploit development, dove una volta exploitata una macchina si deve fare lateral movement per la rete. In quel caso programmarsi dei tools è necessario poichè sulle macchine compromesse non trovi praticamente mai i tools necessari, ma anche in questo caso è già pieno di risorse su github pronte da scaricare e utilizzare. Sicuramente in queste situazioni saper programmare ti aiuta di parecchio, soprattutto se hai bisogno di scriverti il programma che ti permette di bypassare l'antivirus o cose del genere, ma sono sicuro che è anche possibile trovare dei tools che facciano bene o male la stessa cosa senza la necessità di scrivere una riga di codice.
Al contrario saper leggere codice è fondamentale, sia per le app che si vanno a testare, sia per capire cosa facciano effettivamente gli exploit che vengono utilizzati. Spesso poi le due cose vanno di pari passo, se uno sa leggere codice bene o male lo sa anche scrivere, però non è sempre così
