گوگل اعلام کرد که PageBreak، یک عامل امنیتی مبتنی بر هوش مصنوعی (AI Agent) که توسط تیم امنیت محصول این شرکت توسعه یافته است، موفق به شناسایی و تایید بیش از ۵۰۰ آسیب‌پذیری Cross-Site Scripting (XSS) در اپلیکیشن‌های وب داخلی این شرکت، از جمله دامنه‌های حساس، شده است.
تغییر رویکرد از تحلیل کد به تست عامل‌محور (Agentic Testing)
این ابتکار نشان‌دهنده تغییری بنیادین در استراتژی گوگل است؛ عبور از تحلیل‌های ساده کد که منجر به گزارش‌های پرتعداد اما غیردقیق می‌شد، به سمت تست‌های عامل‌محور که یافته‌های خود را با Exploit واقعی پشتیبانی می‌کنند. هدف اصلی PageBreak، مقیاس‌پذیری در کشف آسیب‌پذیری‌های وب بدون ایجاد حجم انبوهی از گزارش‌های مثبت کاذب (False Positives) برای تیم‌های مهندسی و امنیت است.
مکانیزم اعتبارسنجی قطعی (Deterministic Validation)
تمایز اصلی PageBreak در سیستم اعتبارسنجی آن است. این عامل به جای گزارش احتمالی یک نقص پس از ردیابی مسیرهای کد توسط مدل‌های زبانی بزرگ (LLM)، هر مورد مشکوک را به یک اعتبارسنج تخصصی ارسال می‌کند تا تلاش کند اکسپلویت را در یک محیط عملیاتی بازتولید کند. تنها آسیب‌پذیری‌هایی که با یک Proof of Concept (PoC) موفقیت‌آمیز تایید شوند، به عنوان یافته‌های قطعی ثبت می‌شوند. این مدل باعث شده است که نرخ مثبت کاذب به نزدیکی صفر برسد.
- XSS: تزریق Payloadهای سفارشی JavaScript و مشاهده اجرای آن‌ها در مرورگر.
- SQL Injection: بررسی امکان دستکاری کوئری‌ها.
- Path Traversal: تلاش برای ایجاد و خواندن فایل‌های تست.
- RCE: استفاده از تاخیرهای زمانی (Timing Delays)، نوشتن فایل یا Callbackهای DNS و HTTP.
- SSRF: نظارت بر توانایی اپلیکیشن در ارسال درخواست به سرویس‌های داخلی.
تحلیل موارد شناسایی شده
گوگل نمونه‌هایی از آسیب‌پذیری‌های زنجیره‌ای (Chained Vulnerabilities) کشف شده توسط PageBreak را منتشر کرد:
- Cache Poisoning: در دامنه apis.google.com، جایی که یک بخش از مسیر URL می‌توانست در پاسخ JavaScript تزریق شود اما در تولید Cache-key نادیده گرفته می‌شد.
- Bypass Authorization: در یک Endpoint مربوط به admin.google.com، جایی که کنترل امضای رمزنگاری شده از طریق یک جریان احراز هویت مجزا دور زده می‌شد تا یک URI مخرب از نوع javascript: اجرا شود.
- Universal XSS: در افزونه Tag Assistant گوگل، جایی که پیام‌رسانی خارجی ناامن اجازه اجرای JavaScript دلخواه در صفحات در حال عیب‌یابی (Debug) را می‌داد.
آینده امنیت مبتنی بر AI
این پروژه که از مدل‌های Gemini 3.1 Pro و Gemini 3.5 Flash بهره می‌برد، اکنون در حال ادغام با CodeMender است؛ ابزاری که هدف آن تولید پیشنهادهای اصلاحی (Fixes) برای بررسی توسط انسان است. این رویکرد ثابت می‌کند که نتایج قدرتمند در امنیت AI، وابسته به اعتبارسنجی مبتنی بر شواهد (Evidence-driven Validation) است، نه صرفاً خروجی‌های مدل‌های زبانی.
