ตามรายงานที่ Google ตีพิมพ์เผยว่า AI security agent ของบริษัทได้ค้นพบช่องโหว่ XSS มากกว่า 500 จุด ในแอปพลิเคชันเว็บของตนเอง นับตั้งแต่เริ่มทำงานเต็มรูปแบบในเดือนมกราคม
PageBreak ใช้โมเดล Gemini ในการตรวจสอบช่องโหว่โดยอัตโนมัติ แต่จะรายงานเฉพาะเมื่อตัวตรวจสอบเชิงกำหนด (deterministic validators) สามารถจำลองการโจมตีนั้นได้สำเร็จ ทำให้มีอัตราการแจ้งเตือนผิดพลาดใกล้เคียงศูนย์
แทนที่จะตั้งสมมติฐานจากรูปแบบโค้ด ระบบจะทดสอบข้อบกพร่องที่อาจเกิดขึ้นกับสภาพแวดล้อมที่ทำงานจริง เช่น การรัน JavaScript สำหรับ XSS หรือการกระตุ้น DNS สำหรับ RCE
นอกจากนี้ Google ยังเก็บข้อมูลที่ไม่สามารถกำหนดได้ไว้ภายในเพื่อใช้เป็นข้อมูลตั้งต้นในการสแกนในอนาคต และกำลังรวม PageBreak เข้ากับโครงการด้านความปลอดภัยแบบ agentic อื่นๆ เช่น CodeMender เพื่อสร้างการแก้ไขอัตโนมัติสำหรับช่องโหว่ที่ค้นพบ
ในบทความแยกต่างหาก Bentkowski ได้อธิบายถึงสามกรณีทางเทคนิคที่พบ ได้แก่ XSS, ปัญหา cache-poisoning และ path-traversal vulnerability
ศัพท์ที่ควรรู้
- XSS (Cross-Site Scripting) – เป็นช่องโหว่ที่ผู้โจมตีสามารถฉีดสคริปต์อันตรายเข้าไปในเว็บไซต์และให้ทำงานในเบราว์เซอร์ของผู้ใช้รายอื่น
- Gemini models – คือโมเดล AI ที่พัฒนาโดย Google ซึ่งถูกนำมาใช้ใน PageBreak เพื่อช่วยในการตรวจสอบช่องโหว่
- PageBreak – คือ AI security agent ของ Google ที่ใช้ในการค้นหาและตรวจสอบช่องโหว่ด้านความปลอดภัยในแอปพลิเคชันเว็บ
- Deterministic validators – คือเครื่องมือตรวจสอบที่สามารถจำลองการโจมตีและยืนยันการมีอยู่ของช่องโหว่ได้อย่างแม่นยำ
- RCE (Remote Code Execution) – คือช่องโหว่ที่อนุญาตให้ผู้โจมตีรันโค้ดจากระยะไกลบนเซิร์ฟเวอร์เป้าหมาย
ที่มา: infoq.com