Модель АІ агента для виявлення XSS, CSRF та SSRF вразливостей при розробці фронтенд частини веб-додатку

Abstract

У першому розділі визначено загальні відомості про методи виявлення вразливостей веб-застосунків. Проаналізовано класифікацію вразливостей та обмеження традиційних SAST інструментів. Обґрунтовано перспективність застосування LLM для контекстного аналізу коду. Другий розділ присвячено розробці архітектури AI-агента на базі Google Gemini 2.5 Flash з RAG-системою Pinecone. Розроблено методику формування векторного датасету та систему багаторівневих промптів для аналізу вразливостей. У третьому розділі проведено реалізацію прототипу AI-агента та експериментальне тестування на датасеті з 120 вразливостями. Порівняльний аналіз показав ефективностість моделі з системними протами та з RAG над базовою моделью та над модель лише з системними промтами. Ключові

The first chapter defines general information about methods for detecting web application vulnerabilities. The classification of vulnerabilities and limitations of traditional SAST tools are analyzed. The prospects of using LLM for contextual code analysis are substantiated. The second chapter is devoted to the development of AI-agent architecture based on Google Gemini 2.5 Flash with Pinecone RAG system. A methodology for forming a vector dataset and a system of multi-level prompts for vulnerability analysis have been developed. The third chapter presents the implementation of the AI-agent prototype and experimental testing on a dataset of 120 vulnerabilities. Comparative analysis showed the effectiveness of the model with system prompts and RAG over the base model and over the model with system prompts only.