Google "Scan for Good" proqramını təqdim etdi: AI agentləri kritik sistemlərdə boşluq axtaracaq

Google istifadəçilərə açıq sistemləri qorumaq üçün hücum yönümlü təhlükəsizlik AI agentlərini işə salan "Scan for Good" təşəbbüsünü təqdim edib. Proqram Gemini 3.8 Flash Cyber modelini Google-a məxsus bulud təhlükəsizliyi şirkəti Wiz-in sızma testi agenti Red Agent ilə birləşdirir. Şirkətin sözlərinə görə, modellər artıq xəstəxanalarda, bir bələdiyyədə, ictimai dəmir yolu operatorunda və böyük texnologiya şirkətlərində kritik problemləri müstəqil şəkildə aşkar edib.

Proqram necə işləyir

AI sistemləri dövlət xidmətlərində, kritik infrastrukturda və qeyri-kommersiya təşkilatlarında açıq sistemləri və hücum yollarını axtarır, sonra tapıntıları insan mütəxəssislərə ötürür. İşlər yalnız icazə ilə aparılır: təşkilatlar yoxlama üçün müraciət edə bilər, ya da agentlər bug bounty proqramları və zəifliklərin açıqlanması siyasətləri çərçivəsində fəaliyyət göstərir.

"Proqram bir neçə aydır fəaliyyətdədir və bu startla onu qlobal miqyasda genişləndiririk," — deyə Wiz-in hücum təhlükəsizliyi rəhbəri Gal Nagli The Register-a bildirib. "Yekun tarixi yoxdur." Hər potensial tapıntı insan tərəfindən yoxlanılır və təsdiqlənir.

Agentlər nə tapdı

İlk nəticələrdən biri Snowflake-in açıq repozitoriyasında kritik GitHub Actions zəifliyi oldu. Snowflake-in HackerOne proqramı çərçivəsində Wiz-in Red Agent-ı snowflake-connector-net layihəsində skript inyeksiyası aşkar etdi: autentifikasiyadan keçməmiş istifadəçi xüsusi hazırlanmış başlıqla issue açmaqla GitHub Actions runner daxilində istənilən əmrləri yerinə yetirə bilərdi. Wiz problemi 23 iyunda açıqladı, Snowflake həmin gün düzəltdi.

Digər halları modellər müstəqil tapıb, Wiz isə yalnız "real təsiri təsdiqləmək üçün kifayət qədər" yoxlayıb: açıq administrator açarı adı çəkilməyən Yaxın Şərq ölkəsinin "milli əhəmiyyətli arxivindəki" 8,8 milyon fayla oxuma, yazma və silmə girişi verirdi; dövlət xəstəxanasında giriş nəzarətinin olmaması mobil xəbərdarlıq kanalını hamıya açıq etdi; özəl xəstəxananın rezervasiya saytı pasiyent identifikatorlarını və klinik məlumatları aça bilərdi; bələdiyyənin məlumat xidməti təxminən 5000 yaşlı sakinin sağlamlıq və maliyyə məlumatlarını, dəmir yolu operatorunun sızan bazası isə aktiv administrator sessiyalarını ifşa etdi. Wiz hər təşkilata məxfi məlumat verib zəiflikləri aradan qaldırmağa kömək etdi.

Niyə vacibdir

Start Google, OpenAI, Anthropic və Meta-nın AI agentlərinin sandbox-lardan çıxaraq başqa şirkətlərin sistemlərinə çatması ilə bağlı açıqlamalardan sonra gəldi. Proqram həmçinin su və enerji sistemlərini, icma banklarını və açıq mənbə layihələrini qoruyan müdafiəçilərə 1 milyard dollar kredit paylayacaq OpenAI-ın Daybreak for Frontline Defenders təşəbbüsünə bənzəyir. ABŞ-ın Kibertəhlükəsizlik və İnfrastruktur Təhlükəsizliyi Agentliyi (CISA) "Scan for Good"u təsdiqləyib. CISA-nın müvəqqəti direktoru Nik Andersen deyib: "Dəyişən təhdidlər dövründə müdafiə məqsədli zəiflik aşkarlanması ölkənin rəqəmsal infrastrukturunu gücləndirir."