گوگل می‌گوید PageBreak بیش از ۵۰۰ باگ XSS پیدا کرده است

گوگل می‌گوید عامل امنیتی هوش مصنوعی داخلی‌اش، PageBreak، از زمان آغاز فعالیت کامل در ژانویه ۲۰۲۶ بیش از ۵۰۰ آسیب‌پذیری اسکریپت‌نویسی بین‌سایتی را در اپلیکیشن‌های وب این شرکت کشف کرده است. اسکریپت‌نویسی بین‌سایتی یا XSS به مهاجم امکان می‌دهد وب‌سایت را وادار کند کد ناخواسته‌ای را در مرورگر بازدیدکننده اجرا کند.

این عامل برای بررسی نقص‌های احتمالی از مدل‌های Gemini استفاده می‌کند، اما باگ مشکوک را تنها زمانی به تیم محصول گزارش می‌دهد که یک اعتبارسنج جداگانه و غیرهوش مصنوعی بتواند آن را در اپلیکیشنی در حال اجرا بازتولید کند. گوگل می‌گوید این روش، موارد مثبت کاذب را نزدیک به صفر نگه می‌دارد. InfoQ اشاره می‌کند که یافته‌ها به‌طور مستقل اعتبارسنجی نشده‌اند.

PageBreak برای اپلیکیشن‌های وب اختصاصی خود گوگل ساخته شده و به‌عنوان ابزاری برای استفاده مشتریان عرضه نشده است. گوگل می‌گوید در بیشتر موارد از Gemini 3.1 Pro یا Gemini 3.5 Flash استفاده می‌کند، هرچند این سامانه با مدل‌های دیگر هم کار می‌کند.

PageBreak چطور باگ مشکوک را بررسی می‌کند؟

PageBreak به‌جای اتکا به الگوهای کد، آسیب‌پذیری احتمالی را به اعتبارسنج‌های تخصصی‌ای می‌سپارد که مهندسان امنیت نوشته‌اند. برای بررسی گزارش XSS، اعتبارسنج کد JavaScript را تزریق می‌کند و می‌سنجد که آیا واقعاً در مرورگر اجرا می‌شود یا نه. بررسی‌های دیگر می‌توانند تلاش کنند فایلی را که در مکانی با دسترسی عمومی خواندن ایجاد شده بخوانند، یک پرس‌وجوی پایگاه داده را دست‌کاری کنند یا برای آزمایش اجرای کد از راه دور، درخواستی به شبکه‌ای بیرونی بفرستند.

گوگل موارد تأییدنشده را به صندوق ورودی تیم‌های محصول نمی‌فرستد. این موارد را در داخل شرکت نگه می‌دارد تا راهنمای اسکن‌های بعدی باشند و به مهندسان کمک کنند برای آسیب‌پذیری‌هایی که بررسی‌های فعلی قادر به تأییدشان نیستند، اعتبارسنج بسازند. این تصمیم هزینه‌ای هم دارد: گوگل می‌پذیرد که اعتبارسنج‌هایش همه نقص‌ها یا سناریوهای پیچیده را پوشش نمی‌دهند و ممکن است بعضی باگ‌های واقعی از دست بروند.

گوگل می‌گوید چه چیزهایی پیدا کرده است؟

InfoQ سه نمونه را به نقل از Michał Bentkowski، مهندس امنیت گوگل، گزارش کرده است: یک باگ XSS، مسموم‌سازی حافظهٔ پنهان مرتبط با پیکربندی نادرست سرویس و یک نقص پیمایش مسیر. گوگل می‌گوید PageBreak می‌تواند کد را در مخزن بزرگ و مشترک کدهای این شرکت دنبال کند و با استفاده از سیگنال‌های امنیتیِ ترافیک زندهٔ وب، مسیرهای وب‌سایت را به کد منبع وصل کند. اسکنرهای فعلی گوگل نیز دسترسی به بسیاری از اپلیکیشن‌های وبِ نیازمند ورود به حساب را فراهم می‌کنند.

گوگل می‌گوید تا ۴ سپتامبر ۲۰۲۶، در مجموعهٔ جداگانه‌ای از اپلیکیشن‌های ساخته‌شده بر پایهٔ چارچوب‌های وبِ با اطمینان‌پذیری بالا، در میان صدها اپلیکیشن فقط دو مورد XSS پیدا شده بود. این دو مورد در اپلیکیشن‌های داخلی یا نقاط پایانی اشکال‌زدایی بودند که در سخت‌سازی آن‌ها کاستی‌هایی وجود داشت. گوگل این یافته را شاهدی بر امنیتِ تعبیه‌شده در طراحی این چارچوب‌ها می‌داند؛ این نتیجه مقایسهٔ مستقیم PageBreak با اسکنر دیگری نیست.

این شرکت قصد دارد PageBreak را با پروژه‌های تعمیر خودکار، از جمله CodeMender، یکپارچه‌تر کند. هدف اعلام‌شدهٔ گوگل این است که تیم‌های محصول زمان کمتری صرف بررسی گزارش‌ها کنند و وقت بیشتری برای بازبینی اصلاحات پیشنهادی داشته باشند. گوگل نگفته است این یکپارچه‌سازی چه زمانی کامل می‌شود.