Google zufolge hat der interne KI-Sicherheitsagent PageBreak seit dem Start des Vollbetriebs im Januar 2026 mehr als 500 Cross-Site-Scripting-Schwachstellen in den Webanwendungen des Unternehmens aufgedeckt. Cross-Site-Scripting, kurz XSS, ermöglicht es einem Angreifer, eine Website dazu zu bringen, unerwünschten Code im Browser eines Besuchers auszuführen.
Der Agent nutzt Gemini-Modelle, um mögliche Schwachstellen zu untersuchen. Ein vermuteter Fehler wird jedoch erst dann an ein Produktteam gemeldet, wenn ein separater Validator ohne KI ihn in einer laufenden Anwendung reproduziert hat. Google zufolge hält dieser Ansatz die Zahl der Fehlalarme nahe null. InfoQ weist darauf hin, dass die Ergebnisse nicht unabhängig überprüft wurden.
PageBreak ist für Googles eigene Webanwendungen entwickelt worden und wird nicht als Tool für Kunden angeboten. Google zufolge basiert der Großteil der Nutzung auf Gemini 3.1 Pro oder Gemini 3.5 Flash. Das System kann jedoch auch mit anderen Modellen arbeiten.
Wie prüft PageBreak vermutete Schwachstellen?
Statt sich allein auf Code-Muster zu stützen, übergibt PageBreak mögliche Schwachstellen an spezialisierte Validatoren, die von Sicherheitstechnikern entwickelt wurden. Bei einem XSS-Bericht fügt ein Validator JavaScript ein und prüft, ob es tatsächlich in einem Browser ausgeführt wird. Andere Prüfungen versuchen, eine Datei an einem allgemein lesbaren Speicherort auszulesen, eine Datenbankabfrage zu manipulieren oder eine ausgehende Netzwerkanfrage auszulösen, um die Ausführung von Code aus der Ferne zu testen.
Google hält unbestätigte Verdachtsfälle aus den Posteingängen der Produktteams heraus. Das Unternehmen speichert sie intern, um spätere Scans zu steuern und Technikern beim Entwickeln von Validatoren für Schwachstellen zu helfen, die sich mit den aktuellen Prüfungen nicht bestätigen lassen. Dieser Ansatz hat einen Nachteil: Google räumt ein, dass die Validatoren nicht alle Fehler oder komplexen Szenarien abdecken. Deshalb könnten einige echte Schwachstellen unentdeckt bleiben.
Was hat Google nach eigenen Angaben gefunden?
InfoQ berichtet über drei von Googles Sicherheitstechniker Michał Bentkowski beschriebene Beispiele: einen XSS-Fehler, Cache-Poisoning aufgrund einer fehlerhaften Dienstkonfiguration und eine Path-Traversal-Schwachstelle. Google zufolge kann PageBreak Code in seinem großen, gemeinsam genutzten Code-Repository nachverfolgen und Sicherheitssignale aus dem Live-Webverkehr nutzen, um Website-Pfade mit dem Quellcode zu verknüpfen. Über die bestehenden Scanner erhält das System außerdem Zugriff auf zahlreiche authentifizierungspflichtige Webanwendungen.
In einer separaten Gruppe von Anwendungen, die auf Googles hochsicheren Web-Frameworks basieren, habe das Unternehmen bis zum 4. September 2026 nur zwei XSS-Schwachstellen in Hunderten von Anwendungen gefunden. Google zufolge betrafen sie interne Anwendungen oder Debug-Endpunkte, bei denen es Lücken in der Absicherung gab. Das Unternehmen wertet dies als Beleg für die Sicherheit von Frameworks, die von Grund auf sicher konzipiert sind. Es handelt sich nicht um einen direkten Vergleich zwischen PageBreak und einem anderen Scanner.
Das Unternehmen plant, PageBreak enger mit automatisierten Reparaturprojekten wie CodeMender zu verknüpfen. Ziel sei es, dass Produktteams weniger Zeit mit der Untersuchung von Meldungen verbringen und mehr Zeit für die Prüfung vorgeschlagener Korrekturen haben. Wann die Integration abgeschlossen sein soll, hat Google nicht mitgeteilt.
Warum es wichtig ist
Für Googles Produktteams könnte die Vorgabe, eine Schwachstelle vor der Weitergabe mit einem reproduzierbaren Exploit zu bestätigen, den Zeitaufwand für die Prüfung von Fehlalarmen verringern. Das Unternehmen gibt an, dass PageBreak mehr als 500 XSS-Fehler gefunden hat. Diese Zahl wurde jedoch nicht unabhängig überprüft, und Google räumt ein, dass bei den Prüfungen manche Schwachstellen übersehen werden könnten.
