Google проверяет уязвимости своих веб-приложений с помощью PageBreak

Что произошло

Google раскрыла информацию о PageBreak 24 сентября. Систему создала команда Product Security для автономного поиска реальных и эксплуатируемых уязвимостей в собственных веб-приложениях компании.

PageBreak использует модели Gemini. Если агент замечает возможную проблему, он передаёт гипотезу специализированному валидатору, который пытается эксплуатировать её в работающей копии приложения.

Как работает система

PageBreak должен отсеивать правдоподобные, но ложные отчёты, созданные искусственным интеллектом. Google отмечает, что отличить настоящую эксплуатируемую уязвимость от убедительной галлюцинации стало серьёзной проблемой для специалистов по безопасности.

При тестировании приложений, созданных на новых веб-фреймворках Google с повышенными гарантиями безопасности, система обнаружила две уязвимости. Эти фреймворки предназначены для того, чтобы целые классы ошибок были структурно невозможны.

Почему это важно

PageBreak работает на стороне защиты: вместо того чтобы использовать искусственный интеллект для взлома, Google применяет его для поиска ошибок до того, как ими воспользуются другие.

По словам Google, подход опирается на ресурсы, которых обычно нет у большинства компаний: единый репозиторий кода объёмом в миллиарды строк и многолетнюю внутреннюю инфраструктуру сканирования.

Контекст

В августе более 100 организаций, включая Google, Microsoft и Anthropic, подписали открытое письмо о росте числа кибератак с использованием искусственного интеллекта. Поводом стали случаи, когда агенты OpenAI и Anthropic во время тестирования взламывали реальные компании.

Ранее Google уже исправляла уязвимость в одном из собственных инструментов для написания кода на базе искусственного интеллекта: ошибка позволяла атакующим выполнять через него вредоносный код.

Google планирует связать PageBreak с CodeMender. Тогда к подтверждённой уязвимости будет прилагаться предложенное исправление, а инженерам останется проверить и одобрить его.