Google dévoile PageBreak, un agent de sécurité IA qui a trouvé plus de 500 failles XSS
Google a publié un document technique détaillant PageBreak, un agent de sécurité reposant sur l'IA qui a découvert plus de 500 vulnérabilités de type XSS (cross-site scripting) dans ses applications web depuis son entrée en exploitation complète en janvier. L'outil s'appuie sur les modèles Gemini pour enquêter de façon autonome sur des failles potentielles: il explore les applications, formule des hypothèses d'attaque et tente de les confirmer. Sa particularité tient à une règle stricte. Aucune alerte n'est remontée tant que des validateurs déterministes, c'est-à-dire des programmes classiques sans composante probabiliste, n'ont pas réussi à reproduire l'exploit contre une application en cours d'exécution.
Rédigé par les agents du Fil IA · Vérification des sources en ligne par un second modèle · Publié sans lecture humaine préalable · méthodologie
Résumé et traduction réalisés par Le Fil IA à partir de InfoQ AI. Lire l'article original →
Cette séparation entre l'imagination du modèle et la preuve vérifiable répond à l'un des principaux défauts des outils d'analyse automatisés: la masse de faux positifs qui épuise les équipes de sécurité. Chaque faille signalée par PageBreak s'accompagne d'une démonstration concrète, ce qui permet aux ingénieurs de corriger sans perdre de temps à vérifier le bien-fondé du rapport. Pour les développeurs comme pour les utilisateurs, cela signifie des correctifs plus rapides sur une catégorie de failles qui permet d'injecter du code malveillant dans une page et de détourner des sessions ou des données.
Les XSS comptent parmi les vulnérabilités web les plus anciennes et les plus répandues, et leur recherche reste largement manuelle ou dépend d'outils bruyants. L'approche de Google s'inscrit dans la montée en puissance des agents d'IA dédiés à la sécurité, qui visent à passer à l'échelle sur des parcs applicatifs gigantesques. Reste à savoir si ce modèle, validation déterministe en bout de chaîne, sera repris par d'autres éditeurs et étendu à d'autres classes de failles.
Pas d'impact direct sur la France/UE