Google tiết lộ PageBreak: AI Agent bảo mật phát hiện hơn 500 lỗ hổng XSS

Google vừa công bố một bài báo kỹ thuật gây chú ý trong giới bảo mật: PageBreak, AI Agent bảo mật do hãng phát triển, đã phát hiện hơn 500 lỗ hổng XSS (Cross-Site Scripting) trên các ứng dụng web nội bộ kể từ khi chính thức vận hành toàn diện vào tháng 1. Đây được xem là một trong những ví dụ rõ nét nhất về việc dùng AI để tự động hóa công tác săn lỗi bảo mật ở quy mô lớn.

PageBreak hoạt động như thế nào?

PageBreak không chỉ đơn thuần quét mã nguồn rồi liệt kê các cảnh báo. Hệ thống sử dụng các mô hình Gemini để chủ động điều tra những dấu hiệu lỗ hổng tiềm ẩn, mô phỏng cách một chuyên gia bảo mật thực thụ tiếp cận vấn đề.

Điểm khác biệt quan trọng nằm ở quy trình xác thực. Theo Google, PageBreak chỉ báo cáo lỗ hổng sau khi các bộ xác thực xác định (deterministic validator) tái hiện thành công khai thác trên một ứng dụng đang chạy thực tế. Nói cách khác, mọi cảnh báo do AI đưa ra đều phải vượt qua bước kiểm chứng có tính quyết định, thay vì dựa hoàn toàn vào "phán đoán" của mô hình ngôn ngữ lớn.

Cách tiếp cận này giải quyết một trong những nỗi lo lớn nhất khi dùng AI trong bảo mật: vấn đề dương tính giả (false positive). Một lỗ hổng chỉ được tính là tồn tại khi nó thực sự khai thác được.

Ý nghĩa với giới bảo mật và lập trình viên

Việc tìm ra hơn 500 lỗ hổng XSS chỉ trong vài tháng cho thấy tiềm năng to lớn của AI trong việc vá các lỗ hổng bảo mật web — loại lỗi vốn rất phổ biến nhưng thường bị bỏ sót trong quy trình kiểm thử thủ công.

Với các đội phát triển phần mềm, mô hình "AI điều tra - validator xác nhận" của PageBreak có thể là hướng tham khảo đáng giá:

• Tự động hóa bước dò tìm các dấu hiệu bất thường trong ứng dụng web
• Giảm tải cho chuyên gia bảo mật, giúp họ tập trung vào các lỗ hổng đã được kiểm chứng thay vì sàng lọc hàng loạt cảnh báo
• Rút ngắn vòng lặp phát hiện - khắc phục, qua đó giảm cửa sổ rủi ro bị khai thác

Bối cảnh tại Việt Nam

Câu chuyện của PageBreak cũng có ý nghĩa với các doanh nghiệp công nghệ Việt Nam, nơi đội ngũ bảo mật thường mỏng trong khi số lượng ứng dụng web cần kiểm tra ngày càng tăng. Việc ứng dụng AI vào quy trình kiểm thử bảo mật (security testing) có thể giúp các startup và doanh nghiệp vừa và nhỏ nâng cao năng lực phòng thủ mà không cần đầu tư quá lớn vào nhân sự chuyên trách.

Tuy vậy, kinh nghiệm từ Google cho thấy AI không nên được "thả" hoàn toàn tự do: việc duy trì một lớp xác thực chặt chẽ là điều kiện tiên quyết để kết quả của AI thực sự đáng tin cậy và có thể hành động được.