Google 开源 PageBreak 扫描器思路:确定性验证让 XSS 误报近零,已挖出 500+ 漏洞
moyix · x · 2026-09-26
Google 产品安全团队公布内部 AI 安全扫描项目 PageBreak 的技术细节，由知名研究者 Michał Bentkowski（SecurityMB）参与开发。XBOW 研究员 moyix 转发表示欣慰：业界正在认同其「强确定性验证 + AI 推测性发现」的思路。
要点：
- 背景：LLM 静态代码分析带来海量「AI slop」假阳性报告，反而加重产品团队负担，区分真实漏洞与幻觉成为主要挑战。
- 项目沿革：2025 年 11 月试点、2026 年 1 月正式立项，目标是自主化扩展漏洞发现、减少人工。主要基于 Gemini 3.1 Pro 与 Gemini 3.5 Flash。
- 核心设计：不做纯代码模式猜测，而是让 agent 在运行环境中实际验证疑似漏洞、闭环确认，实现接近零误报。
- 成果：大规模运行后在 Google 一方 Web 应用中发现超过 500 个 XSS 漏洞。
- 另有两篇配套博客分享了方法论与若干发现。
「安全」频道最新
- 学者警告:实时视频 AI 伴侣将成青少年安全下一波冲击 — anshulkundaje · 2026-11-11
- 3.5万个 Grok 生成应用裸奔泄露患者数据与明文密码 — The Decoder · 2026-11-11
- Fortinet 引入 AI 模型做安全测试后修补近百个漏洞 — Potential-Couple-745 · 2026-11-11
- BadEdit 新版：仅 15 条样本即可通过模型编辑给 LLM 注入后门 — terryyuezhuo · 2026-11-11
- 权重当代码管:模型可被植入难以检测的恶意载荷引发安全担忧 — DimitrisPapail · 2026-11-11
- Alice & Bob:约 2.5 万个 cat qubit 三天可破 RSA-2048 — AryHHAry · 2026-11-11