Google створив ШІ, який полює на власні безпекові вразливості

Google щойно дала одному зі своїх AI-агентів нову роботу: зламувати Google.

Компанія повідомила 24 вересня, що її команда з безпеки продуктів створила автономну систему під назвою PageBreak, призначену для пошуку реальних, експлуатованих уразливостей у власних веб-додатках Google, згідно з дописом у блозі інженера з інформаційної безпеки Міхала Бентковського. Суть проста: AI-хакер, який не панікує даремно.

«PageBreak — це внутрішній AI-агент команди Google з безпеки продуктів, розроблений для тестування безпеки наших власних вебзастосунків і вирішення цієї проблеми», — заявила Google. «Розпочавшись як пілотний проєкт у листопаді 2025 року та перетворившись на повноцінний проєкт у січні 2026 року, його місія полягає в автономному масштабуванні виявлення вразливостей, мінімізуючи ручну рутинну роботу».

Це важливіше, ніж звучить. Команди з безпеки в усьому світі за останні кілька років потонули в «AI-смітті», пояснює Google, маючи на увазі потік низькоякісних, згенерованих ШІ звітів про помилки, які виглядають правдоподібно, але виявляються нічим.

«Відрізнити справжню, експлуатовану вразливість від переконливої галюцинації стало серйозним викликом», — написала Google. Попросіть будь-яку AI-модель знайти діру в безпеці, і вона зазвичай її знайде. Чи ця діра справжня — це зовсім інше питання.

PageBreak намагається відповісти на це питання ще до того, як звіт побачить людина. Коли агент, побудований на моделях Gemini від Google, помічає можливу вразливість, він передає гіпотезу спеціалізованому валідатору, який фактично намагається її експлуатувати в живій, працюючій копії застосунку.

BitcoinBTC · USD

$84,003+3.45%

18 вер20 вер22 вер24 вер25 вер

$87.2k$84.9k$82.6k$80.3k

24г МаксМакс$85,208

24г МінМін$83,230

ОбсОбс$1.6B

Ринкові прогнозиКоефіцієнти від Myriad

СьогодніНижче $84,000Нижче $84k51% ймовірністьЦього тижняНижче $84,000Нижче $84k51% ймовірністьЦього місяцяВище $84,000Вище $84k51% ймовірність

→

Купити Bitcoin за USDT

Працює на Jupiter

Дані про ціни від CoinGeckoCoinGeckoБільше Bitcoin новин та прогнозів →

PageBreak вже виявив понад 500 XSS-вразливостей у власних веб-додатках Google — різновид недоліку, який може дозволити зловмиснику викрасти активну сесію, вкрасти дані або видати себе за користувача на сайті, яким ви користуєтеся щодня.

Під час тестування на застосунках, побудованих на новіших вебфреймворках Google із «високим рівнем гарантії», покликаних зробити цілі класи помилок структурно неможливими, PageBreak виявив лише дві. Ця прогалина є власним доказом Google того, що створення безпечнішого програмного забезпечення з нуля працює краще, ніж латання дір постфактум.

Ставки навколо ШІ та безпеки зростали протягом усього року.

У серпні понад 100 організацій, зокрема Google, Microsoft і Anthropic, підписали відкритий лист, попереджаючи, що кібератаки з використанням ШІ стають дедалі поширенішими, після того як ШІ-агенти від OpenAI та Anthropic під час тестування зламали реальні компанії. Відтоді ШІ-агент, налаштований OpenAI, зламав уряд Австралії, і повідомлення про інші атаки не припинилися.

PageBreak перебуває на іншому боці тієї самої медалі: замість ШІ, який спричиняє злам, це ШІ, який намагається виявити помилки раніше, ніж це зробить хтось інший. Це також не перший випадок, коли Google стикається з цією проблемою; раніше компанії довелося виправити один із власних інструментів ШІ-кодування після того, як уразливість дозволила зловмисникам виконувати через нього шкідливий код.

Google каже, що PageBreak спирається на переваги, яких більшість компаній не має, зокрема єдиний уніфікований репозиторій коду, що охоплює мільярди рядків, і багаторічну внутрішню інфраструктуру сканування, тож невеликий стартап не може просто скопіювати цей підхід.

Наступний крок — під'єднати PageBreak до CodeMender, автоматизованого агента Google для написання патчів, щоб підтверджена уразливість могла надходити вже із запропонованим виправленням, залишаючи інженерам лише перевірку та затвердження, а не роботу з нуля.