شركة Google تكشف عن وكيل أمني يعمل بالذكاء الاصطناعي اكتشف أكثر من 500 ثغرة من نوع XSS
3 نوفمبر 2026 · قراءة 2 دقيقة
كشفت شركة Google أن وكيلها الأمني المدعوم بالذكاء الاصطناعي، والمعروف باسم PageBreak، قد اكتشف أكثر من 500 ثغرة أمنية من نوع XSS في تطبيقات الويب الخاصة بها منذ دخوله مرحلة التشغيل الكامل في شهر يناير.
يعتمد نظام PageBreak على نماذج Gemini للتحقيق بشكل مستقل في الثغرات المحتملة. ولا يقوم النظام بالإبلاغ عن هذه الثغرات إلا بعد أن تنجح أدوات تحقق حتمية في إعادة إنتاج الاستغلال ضد تطبيق يعمل بالفعل، وهو ما أدى إلى تحقيق معدل يقترب من الصفر في النتائج الإيجابية الكاذبة.
يتم اختبار كل فرضية تتعلق بوجود ثغرة أمنية مقابل بيئة تشغيل باستخدام استغلال حقيقي، مثل تنفيذ لغة جافا سكريبت لثغرات XSS، أو الكتابة في موقع يمكن قراءته عالميا لثغرات تجاوز المسار، أو تحفيز نظام أسماء النطاقات الصادر لثغرات تنفيذ التعليمات البرمجية عن بعد. وتعتبر الشركة أن التحقق الحتمي هو المعيار الذهبي لضمان عدم إثقال كاهل فرق المنتجات بتقارير غير مؤكدة، رغم اعترافها بأن أدوات التحقق قد تفتقر حاليا للقدرة على تغطية جميع أنواع الثغرات أو السيناريوهات المعقدة، مما قد يؤدي إلى مخاطر السلبيات الكاذبة.
تحتفظ شركة Google بالنتائج غير الحتمية داخليا لاستخدامها في عمليات مسح مستقبلية أعمق، وتحديد الفجوات في قدرات التحقق، وتوجيه تطوير أدوات تحقق جديدة، دون إرسال هذه المرشحات غير المؤكدة إلى فرق المنتجات.
استعرضت الشركة ثلاث حالات تقنية وجدها PageBreak، شملت ثغرة XSS، ومشكلة تسميم ذاكرة التخزين المؤقت ناتجة عن تكوين خاطئ للخدمة، وثغرة تجاوز المسار. ويستفيد النظام من بيئة الهندسة في Google، وتحديدا الرؤية الشاملة للكود في المستودع الموحد، وإشارات الأمان التي تربط حركة مرور HTTP المباشرة بكود المصدر، والبنية التحتية للمسح التي توفر وصولا مصرحا به لتطبيقات الويب.
تسعى شركة Google إلى تقليل تدخل فرق المنتجات بحيث يقتصر دورهم على التحقق من الإصلاحات التي يولدها الذكاء الاصطناعي، لذا تعمل على دمج PageBreak مع مبادرات أمنية أخرى مثل CodeMender لتوليد إصلاحات تلقائية للثغرات المكتشفة. ولم يتم تقديم أي تحقق مستقل من الثغرات التي تتجاوز 500 ثغرة.