Google và Wiz ra mắt chương trình quét lỗ hổng AI cho hạ tầng trọng yếu
"Google and Wiz announced Scan for Good, an AI-assisted offensive security initiative using Gemini 3.8 Flash Cyber and Wiz’s Red Agent to find and validate exposures in critical infrastructure, public services, and nonprofits. The program has already uncovered serious issues including a GitHub Actions script injection flaw in Snowflake’s public repository, which Snowflake fixed the same day, along with multiple other exposed-access and data-leak risks affecting hospitals, a municipality, and a rail operator."
Tăng khả năng phát hiện lỗ hổng internet-facing và đường tấn công thực tế; tuy nhiên vẫn cần xác minh thủ công để tránh kết luận sai.
Có thể giảm thời gian phát hiện sự cố và chi phí ứng cứu cho các đơn vị công; đồng thời đòi hỏi nguồn lực phối hợp để xử lý phát hiện.
Google và Wiz công bố Scan for Good, một sáng kiến AI hỗ trợ kiểm thử tấn công nhằm phát hiện và xác minh lỗ hổng trên hạ tầng trọng yếu, dịch vụ công và tổ chức phi lợi nhuận. Chương trình dùng Gemini 3.8 Flash Cyber và Wiz Red Agent để rà soát các website công khai, API và ứng dụng có thể bị lộ bề mặt tấn công, sau đó chuyển kết quả cho con người kiểm tra và xử lý.
Theo công bố, hệ thống đã phát hiện nhiều vấn đề thực tế, gồm một lỗ hổng script injection trong kho công khai của Snowflake trên GitHub Actions. Lỗi này cho phép thực thi lệnh trái phép trong runner khi kẻ tấn công tạo issue với tiêu đề được chế tạo đặc biệt; Snowflake đã khắc phục trong cùng ngày.
Các ví dụ khác cho thấy rủi ro từ khóa quản trị bị lộ, thiếu kiểm soát truy cập, tải tệp không an toàn và cơ sở dữ liệu sản xuất bị rò rỉ phiên quản trị. Google và Wiz cho biết mọi phát hiện đều phải qua xác minh thủ công trước khi thông báo cho đơn vị bị ảnh hưởng.
Khuyến nghị: các tổ chức nên rà soát quyền truy cập, cấu hình kho mã, luồng tải tệp, và tham gia bug bounty hoặc vulnerability disclosure policy để giảm thời gian phát hiện và khắc phục.