Google triển khai hệ thống AI PageBreak phát hiện hơn 500 lỗ hổng XSS

• Công nghệ đột phá: Google giới thiệu PageBreak, hệ thống AI sử dụng mô hình Gemini để tự động hóa việc phát hiện và xác thực lỗ hổng XSS trong các ứng dụng web.
• Hiệu suất vượt trội: Hệ thống đã xác thực thành công hơn 500 lỗ hổng XSS, giảm thiểu gần như tuyệt đối tỷ lệ dương tính giả nhờ cơ chế kiểm chứng thực tế (Proof-driven workflow).
• Chuỗi tấn công phức tạp: PageBreak không chỉ tìm lỗi đơn giản mà còn phát hiện các chuỗi khai thác phức tạp như cache poisoning và bypass cơ chế xác thực.

1. Bối cảnh & Tổng quan về PageBreak

Trong nỗ lực nâng cao an ninh mạng cho các dịch vụ web quy mô lớn, Google đã chính thức công bố dự án PageBreak. Đây là một hệ thống tác nhân AI bảo mật được thiết kế để tự động hóa quy trình tìm kiếm, tái hiện và xác thực các lỗ hổng Cross-Site Scripting (XSS). Khác với các trình quét lỗ hổng truyền thống thường tạo ra lượng lớn cảnh báo giả (false-positive), PageBreak tập trung vào việc chứng minh khả năng khai thác thực tế trước khi gửi báo cáo cho đội ngũ kỹ sư.

Dự án này bắt đầu dưới dạng thí điểm vào tháng 11/2025 và chính thức trở thành quy trình chuẩn vào tháng 1/2026. PageBreak tận dụng sức mạnh của các mô hình Gemini để phân tích mã nguồn và tín hiệu lưu lượng mạng, sau đó chuyển kết quả cho một trình xác thực (validator) chuyên dụng để thực thi payload trong môi trường giả lập giống trình duyệt.

2. Phân tích Kỹ thuật & Chuỗi Khai thác

PageBreak không chỉ dừng lại ở việc quét tĩnh mà còn thực hiện kiểm chứng động. Khi phát hiện một điểm nghi ngờ, hệ thống sẽ tiêm JavaScript và kiểm tra xem mã có thực thi thành công hay không. Dưới đây là các trường hợp khai thác phức tạp mà hệ thống đã phát hiện:

2.1. Tấn công Cache Poisoning

Trong một trường hợp cụ thể, PageBreak đã phát hiện lỗ hổng cache poisoning trên máy chủ phục vụ tệp JavaScript. Kẻ tấn công có thể chèn một phân đoạn đường dẫn URL không được kiểm tra vào mã trả về, nhưng phân đoạn này lại bị loại trừ khỏi khóa cache (cache key). Điều này cho phép phản hồi độc hại được lưu trữ và phân phối cho các người dùng khác trong cùng khu vực địa lý.

2.2. Chuỗi khai thác (Exploit Chain) trên Admin Console

Hệ thống đã phát hiện một chuỗi tấn công tinh vi nhắm vào bảng điều khiển quản trị. Ban đầu, một giá trị chuyển hướng (redirect) không được xác thực có thể tiếp cận window.location, nhưng bị chặn bởi chữ ký mật mã. Tuy nhiên, PageBreak đã tìm thấy một endpoint ủy quyền riêng biệt có khả năng tạo ra chữ ký hợp lệ cho URI JavaScript độc hại, từ đó biến một endpoint được bảo vệ thành đường dẫn thực thi XSS.

2.3. Lỗ hổng trong Tag Assistant Extension

Trường hợp thứ ba liên quan đến việc kiểm tra lỏng lẻo các kết nối bên ngoài, phục hồi nonce một lần và chuyển tiếp thông điệp không an toàn. Việc hỗ trợ data URLs đã cho phép thực thi JavaScript tùy ý, tạo ra điều kiện XSS phổ quát (Universal XSS).

3. Dấu hiệu Nhận biết & Bảng Chỉ số IOCs

Dưới đây là các chỉ số kỹ thuật liên quan đến các kịch bản thử nghiệm mà PageBreak đã thực hiện. Lưu ý rằng đây là các artifact phục vụ nghiên cứu, không phải hạ tầng độc hại.

4. Hướng dẫn Phát hiện & Săn tìm mối đe dọa

Để phát hiện các hành vi tương tự trong môi trường doanh nghiệp, các đội ngũ SOC cần tập trung vào việc giám sát các điểm bất thường trong lưu lượng HTTP và cấu hình cache.

# Ví dụ truy vấn KQL để tìm kiếm các request có chứa payload XSS tiềm năng trong log web: 

Các kỹ sư nên tập trung vào việc kiểm tra các header liên quan đến cache và đảm bảo rằng mọi phân đoạn đường dẫn (URL path segments) đều được đưa vào khóa cache (cache key) để tránh tình trạng cache poisoning.

5. Biện pháp Khắc phục & Khuyến nghị Phòng thủ

Dựa trên các kết quả từ PageBreak, Google khuyến nghị các chiến lược phòng thủ chiều sâu sau đây:

• Sử dụng Framework an toàn: Ưu tiên sử dụng các web framework có cơ chế kiểm soát đầu vào tự động để ngăn chặn toàn bộ lớp lỗ hổng XSS.
• Xác thực nghiêm ngặt: Mọi giá trị chuyển hướng (redirect) và dữ liệu đầu vào từ người dùng phải được xác thực qua chữ ký mật mã mạnh mẽ.
• Cấu hình Cache an toàn: Đảm bảo rằng tất cả các thành phần động trong URL đều được bao gồm trong cache key để ngăn chặn việc đầu độc bộ nhớ đệm.
• Kiểm soát Extension: Hạn chế quyền truy cập của các extension trình duyệt đối với các endpoint nhạy cảm và thực hiện kiểm tra chặt chẽ các thông điệp chuyển tiếp.

Việc kết hợp giữa kiểm thử tự động bằng AI và quy trình review của kỹ sư là chìa khóa để duy trì an ninh cho các ứng dụng web hiện đại. Tham khảo thêm thông tin về các kỹ thuật bảo mật tại MITRE CWE để hiểu rõ hơn về các lỗ hổng injection.