เจาะลึกความปลอดภัย
AI SECURITY
Google ส่งเอไอ PageBreak ล่าช่องโหว่ XSS ทะลุ 500 จุด ขยี้บั๊กแม่นเป๊ะไม่มีมั่ว
เมื่อระบบรักษาความปลอดภัยยุคใหม่ไม่ได้แค่เอา AI มานั่งเดา แต่กล้าการันตีด้วยการรันโค้ดเจาะระบบจริงก่อนส่งรายงาน
ทีมข่าว เอไอไทย.com
⏱ อ่าน 2 นาที
ปัญหาใหญ่ของการเอา AI มาหาช่องโหว่ไซเบอร์ ไม่ใช่หาไม่เจอ แต่คืออาการหลอนที่สร้างขยะข้อความเตือนจนเดฟปวดหัว ซึ่ง Google แก้ได้ถูกจุดมากๆ
กูเกิลปล่อยงานวิจัยชิ้นล่าสุดเปิดเผยถึง PageBreak เอเจนต์เอไอสายความปลอดภัยที่ทำงานอยู่เบื้องหลังระบบของพวกเขา โคตรน่าสนใจตรงที่มันออกสแกนหาช่องโหว่ประเภท XSS (Cross-Site Scripting) บนเว็บแอปพลิเคชันของ Google เอง ยิงยาวตั้งแต่เดินเครื่องเต็มสูบเมื่อมกราคมที่ผ่านมา แล้วกวาดบั๊กเจอไปมากกว่า 500 จุดเข้าไปแล้ว
ใครทำฝั่ง Dev หรือ Security น่าจะรู้ดีว่า XSS นี่คือช่องโหว่คลาสสิกที่เจอบ่อยและน่ารำคาญที่สุดประเภทหนึ่ง แล้วถ้าพยายามเอา LLM มาช่วยตรวจโค้ด สิ่งที่ตามมามักจะเป็นอาการหลอน แจ้งเตือนมั่วซั่ว ทักว่าตรงนั้นตรงนี้มีช่องโหว่ ทั้งที่พอคนเข้าไปเช็กจริงกลับใช้งานได้ปกติ เสียเวลานั่งกรอกตั๋วทิ้งแบบสุดๆ
ทีมงาน Google แก้เผ็ดปัญหานี้ได้แบบชาญฉลาดมาก ตัวระบบ PageBreak ใช้พลังของโมเดล Gemini เข้ามารับหน้าที่เป็นสมองกลช่วยค้นหาและวิเคราะห์จุดอ่อนที่อาจโดนโจมตี แต่จุดสลับสับเปลี่ยนที่ทำให้มันต่างจากเครื่องมือสแกนทั่วไปคือ "มันจะไม่เชื่อเอไอทันที"
ทันทีที่ Gemini สงสัยว่าเจอช่องโหว่ XSS ระบบจะยังไม่ส่งรายงานหาทีมพัฒนาเด็ดขาด จนกว่าจะผ่านขั้นตอนตรวจสอบที่เข้มงวดจริงจังเสียก่อน
1. สำรวจช่องโหว่ด้วย Gemini
ใช้โมเดล AI วิเคราะห์โครงสร้างแอปพลิเคชันและค้นหาจุดที่อาจเปิดช่องให้ยิงสคริปต์ XSS เข้าไปได้โดยอัตโนมัติ
2. จำลองการเจาะระบบจริง (Deterministic Validation)
นำข้อสงสัยไปรันสคริปต์ทดสอบยิงใส่แอปพลิเคชันที่กำลังทำงานอยู่จริงๆ ถ้าเจาะผ่านและดึงผลลัพธ์ออกมาได้จริง ถึงจะยอมสรุปเป็นรายงาน
ผลลัพธ์คือตัวเลข 500 กว่ารายการที่ PageBreak รายงานออกมา กลายเป็นบั๊กที่มีอยู่จริงแบบ 100% ตัดปัญหาการเตือนมั่วออกไปได้สนิท วิศวกรไม่ต้องเสียเวลาตามแก้ขยะข่าวลือของเอไอ แต่ได้ลงมืออุดรูรั่วของจริงทันที
มองในมุมคนไอที นี่คือทิศทางที่ถูกต้องมากๆ ของการนำ AI มาใช้ในงาน Cybersecurity โลกไซเบอร์ไม่ได้ต้องการบอทที่พ่นคำเตือนวันละหมื่นรายการ แต่ต้องการระบบที่ชี้เป้าแม่นยำ ยิงเป็นยิง เจาะเป็นเจาะ ซึ่ง Google พิสูจน์ให้เห็นแล้วว่าการเอา LLM มาทำงานร่วมกับตัวยืนยันเชิงตรรกะแบบเดิม คือคำตอบที่เวิร์กที่สุดในเวลานี้
หมดยุคเอา AI มาพ่นคำเตือนมั่วๆ ให้เดฟปวดหัว สิ่งที่ Google ทำกับ PageBreak คือการสร้างมาตรฐานใหม่ ความแม่นยำไม่ได้เกิดจากการปล่อยให้เอไอคิดเองเออเองทั้งหมด แต่เกิดจากการจับมันมาทำงานร่วมกับระบบตรวจสอบผลลัพธ์ของจริงก่อนรายงานต่างหาก
ที่มา: InfoQ AI/ML — อ่านต้นฉบับ
ความคิดเห็น 0
กำลังโหลดความคิดเห็น...