Google: PageBreak اكتشف أكثر من 500 ثغرة XSS

تقول Google إن وكيلها الداخلي للأمن المدعوم بالذكاء الاصطناعي، PageBreak، اكتشف أكثر من 500 ثغرة برمجة نصية عابرة للمواقع (XSS) في تطبيقات الشركة على الويب، منذ بدء تشغيله بالكامل في يناير 2026. تتيح هذه الثغرات للمهاجم تشغيل شيفرة غير مرغوب فيها في متصفح زائر الموقع.

يستخدم الوكيل نماذج Gemini للتحقيق في العيوب المحتملة، لكن لا يُبلَّغ فريق المنتج عن ثغرة مشتبه بها إلا بعد أن يعيد مدقّق منفصل، لا يعتمد على الذكاء الاصطناعي، إنتاجها على تطبيق قيد التشغيل. وتقول Google إن هذا النهج يُبقي الإنذارات الكاذبة قريبة من الصفر. وتشير InfoQ إلى أن النتائج لم تخضع لتحقق مستقل.

صُمم PageBreak لتطبيقات الويب التابعة لـGoogle، ولم يُطرح بوصفه أداة يمكن للعملاء استخدامها. وتقول Google إن معظم استخداماته تعتمد على Gemini 3.1 Pro أو Gemini 3.5 Flash، مع إمكانية تشغيل النظام على نماذج أخرى.

كيف يتحقق من الثغرات المشتبه بها؟

بدلًا من الاعتماد على أنماط الشيفرة وحدها، يحيل PageBreak الثغرة المحتملة إلى أدوات تحقق متخصصة كتبها مهندسو الأمن. وفي تقارير XSS، تحقن أداة التحقق شيفرة JavaScript ثم تفحص ما إذا كانت تعمل فعليًا في المتصفح. ويمكن لاختبارات أخرى محاولة قراءة ملف أُنشئ في موقع متاح للجميع، أو التلاعب باستعلام قاعدة بيانات، أو إطلاق طلب شبكة صادر لاختبار إمكانية تنفيذ شيفرة عن بُعد.

تحرص Google على ألا تصل الاحتمالات غير المؤكدة إلى صناديق البريد الوارد لفرق المنتجات. لكنها تحتفظ بها داخليًا لتوجيه عمليات الفحص اللاحقة ومساعدة المهندسين على بناء أدوات تحقق للثغرات التي تعجز الفحوص الحالية عن تأكيدها. وينطوي هذا الخيار على مفاضلة: تقر Google بأن أدوات التحقق لا تغطي كل العيوب أو السيناريوهات المعقدة، لذا قد تفوتها بعض الثغرات الحقيقية.

ما الذي تقول Google إنها اكتشفته؟

تورد InfoQ ثلاثة أمثلة ذكرها مهندس الأمن في Google Michał Bentkowski: ثغرة XSS، وتسميم ذاكرة التخزين المؤقت المرتبط بإعداد خاطئ لخدمة، وثغرة اجتياز المسارات. وتقول Google إن PageBreak يستطيع تتبع الشيفرة عبر مستودعها البرمجي المشترك والضخم، والاستفادة من مؤشرات أمنية مستمدة من حركة الويب الحية لربط مسارات المواقع بالشيفرة المصدرية. كما تتيح الماسحات الحالية الوصول إلى عدد كبير من تطبيقات الويب التي تتطلب تسجيل الدخول.

تقول Google إن مجموعة منفصلة من التطبيقات المبنية على أطر الويب عالية الضمان التابعة لها لم تسجل سوى ثغرتين من نوع XSS عبر مئات التطبيقات، حتى 4 سبتمبر 2026. وكانتا في تطبيقات داخلية أو نقاط نهاية للتصحيح تفتقر إلى بعض إجراءات التحصين. وتقدم Google ذلك دليلًا على فاعلية الأطر المصممة مع مراعاة الأمن منذ البداية، وليس مقارنة مباشرة بين PageBreak وماسح آخر.

تخطط الشركة لربط PageBreak بصورة أوثق بمشروعات الإصلاح الآلي، ومنها CodeMender. وتقول إن هدفها هو تقليل الوقت الذي تمضيه فرق المنتجات في التحقيق في البلاغات، وإتاحة مزيد من الوقت لها لمراجعة الإصلاحات المقترحة. ولم تحدد Google موعدًا لاكتمال هذا الربط.