Durum, açıkları ve sömürülebilirliği belirlemek ve risk değerlendirmesi sunmak için yapay zekâ ve deterministik doğrulamanın kullanılmasına yönelik bir eğilimi gösteriyor.
Google'ın içindeki bir yapay zekâ ajanı, şirketin kendi web uygulamalarında 500'den fazla çapraz site betikleme (XSS) açığı keşfetti. Ajan, sömürülebileceği muhtemel zayıflıkların genel bir görünümünü sunmak ve böylece ele alınması gerektiğini ortaya koymak için yapay zekâ ile doğrulamayı bir arada kullanıyor.
PageBreak, Google'ın Ürün Güvenliği ekibi tarafından şirketin birinci taraf web uygulamalarının güvenliğini test etmek ve güvenlik zorluklarını ele almak için geliştirildi. Şirket bunu geçen ay yayımladığı bir blog yazısında sessizce açıkladı. Ajan geçen kasımda pilot olarak başladı, ocakta tam teşekküllü ürüne geçti ve görevi "manuel yükü en aza indirerek güvenlik açığı keşfini özerk şekilde ölçeklendirmek" oldu. Yazıda Google bilgi güvenliği mühendisi Michał Bentkowski bunu belirtti.
PageBreak'in tespit ettiği açıklar arasında apis.google.com'da önbellek zehirlemesi; admin.google.com'da XSS açığı ve tarayıcı eklentilerinde güvensiz dış el sıkışmalar yer alıyor. Şirket, düzeltildiği belirtilen bu üç açığı bir eşlik eden blog yazısında özetledi.
Google, PageBreak'in tespit ettiği tüm açıkların düzeltme durumu hakkında gelen soruya hemen yanıt vermedi. Şirketin nihai planı PageBreak'i otomatik güvenlik açığı düzeltme sistemi CodeMender ile bağlamak. Buna göre PageBreak doğrulanmış bir açık tespit ettiğinde CodeMender ürün mühendislerinin doğrulayıp uygulayacağı bir düzeltme önerisi üretecek.
Bentkowski'ye göre daha önemli olan nokta, PageBreak'in uygulama güvenliğinde büyük dil modellerinin kullanımına yaklaşımındaki değişim. Modellere kaynak kod ve güvenlik araçlarına erişim veriliyor ve insan araştırmacılardan daha hızlı zayıflık bulmaları için bırakılıyor.
Bu yaklaşımda "gerçek, sömürülebilir bir açığı ikna edici bir yanılsamadan ayırt etmek" gibi zorluklar çıktı. Bentkowski, bunun ürün ekiplerinin yükünü azaltmak yerine artırabildiğini açıkladı.
PageBreak yama önceliklendirmesini nasıl ele alıyor
PageBreak'in geliştirilmesindeki düşünce, olası güvenlik açıklarını tespit etmekle kalmayıp özerk ajanlar ve deterministik sömürü doğrulaması kullanarak hangi kusurların gerçekten ele alınmaya değer olduğunu belirlemek. PageBreak olası bir zayıflığı tespit ediyor, çalışan bir ortamda sömürmeye çalışıyor ve yalnızca güvenlik açığı gösterilebildiğinde sonucu raporluyor.
Bentkowski yazıda "Bu deterministik yaklaşımın özü, özel, yapay zekâ tarafından yazılmamış doğrulayıcılardan oluşan paketinde yatıyor. Ajan olası bir kusur tespit ettiğinde hipotezi bir doğrulayıcıya aktarılır ve doğrulayıcı sömürüyü onaylamak için gerçek bir yük çalıştırır" diye açıkladı.
Doğrulama mantığı ve arayüzü güvenlik açığı sınıfına (XSS, SQL enjeksiyonu, uzaktan kod çalıştırma gibi) ve uygulama yüzeyine (HTTP veya gRPC gibi) göre değişiyor.
Bentkowski'ye göre "Bu yaklaşım neredeyse sıfır yanlış pozitif oranı sağlıyor ve böylece ürün ekiplerini doğrulanmamış güvenlik açığı raporlarıyla boğmaktan kaçınıyoruz."
Yapay zekâyı güvenlik açığı araştırmasında kullanıp da yanlış pozitiflerin yarattığı yükten bunalmamak isteyen güvenlik ekipleri için işi kolaylaştırmayı amaçlıyor. Detectify CEO'su Rickard Carlsson bu noktaya dikkat çekti.
Carlsson, "Son birkaç yıldır yapay zekâ güvenlik araçları ekiplerin gerçekçi olarak inceleyebileceğinden daha fazla olası güvenlik açığı üretiyor" dedi. "Google'ın yaklaşımındaki önemli kısım, ajanın son sözü söylememesi. Ayrı, yapay zekâ dışı bir doğrulayıcı, bir şeyin doğrulanmış bir bulgu olarak kabul edilmesi için gerçek yükü çalışan uygulamaya karşı çalıştırmalı."
Yapay zekâ ile siber alanda saldırı
Google PageBreak kullanımını temel olarak Gemini modellerine dayandırdı; Gemini 3.1 Pro ve Gemini 3.5 Flash dahil. Şirketin başka modellerle de çalışabileceğini söylediği belirtildi.
Savunma tarafı için araç, güvenlik boşluklarını ve ortamlarındaki uygulamalardaki kusurları belirlemek için yapay zekânın nasıl kullanılabileceğine dair olası bir yön gösteriyor. Carlsson için çıkarılacak ders "bir ajanın kendi ödevini kendi değerlendirmesine izin vermemek" oldu.
Carlsson, yapay zekânın insanlarla eşleşemeyeceği ölçekte güvenlik açığı bulabildiğini ancak bir kuruluş "sömürülebilir güvenlik açıklarını ikna edici gürültüden güvenilir şekilde ayırabiliyorsa" yararlı olduğunu söyledi.
"Bunun için çalışan şeye karşı deterministik doğrulama gerekiyor" diye ekledi Carlsson. "Bunu doğru yaparsanız yapay zekâ savunmada çok daha kullanışlı hale gelir çünkü ekipler yalnızca olası zayıflıkları bulmakla kalmaz, hangilerinin gerçekten önemli olduğunu kanıtlamayı da otomatikleştirir."
PageBreak, saldırı testinin "daha sürekli, özerk ve kanıta dayalı" hale geldiğine dair daha geniş bir eğilimi gösteriyor. Ridge Security'de teknik pazarlama mühendisliği kıdemli direktörü Darin Fredde bunu gözlemledi.
"Bir şey bulmak artık yeterli değil" dedi Fredde. "Artık bunu kanıtlamamız, düzeltmemiz ve düzeltmenin işe yaradığını doğrulamamız gerekiyor."
