Google afirma que su agente interno de seguridad basado en IA, PageBreak, ha detectado más de 500 vulnerabilidades de cross-site scripting en las aplicaciones web de la empresa desde que comenzó a funcionar a pleno rendimiento en enero de 2026. El cross-site scripting, o XSS, permite que un atacante haga que un sitio web ejecute código no deseado en el navegador de un visitante.
El agente usa modelos Gemini para investigar posibles vulnerabilidades, pero solo comunica un fallo sospechoso al equipo del producto después de que un verificador independiente, que no usa IA, logra reproducirlo en una aplicación en funcionamiento. Google dice que este enfoque mantiene los falsos positivos cerca de cero. InfoQ señala que los hallazgos no se han verificado de forma independiente.
PageBreak está diseñado para las aplicaciones web propias de Google; no se presenta como una herramienta disponible para los clientes. Google dice que la mayor parte de su uso se basa en Gemini 3.1 Pro o Gemini 3.5 Flash, aunque el sistema puede funcionar con otros modelos.
¿Cómo comprueba un posible fallo?
En lugar de basarse únicamente en patrones de código, PageBreak envía las posibles vulnerabilidades a verificadores especializados desarrollados por ingenieros de seguridad. Para investigar un informe de XSS, un verificador inyecta JavaScript y comprueba si se ejecuta en un navegador. Otras pruebas pueden intentar leer un archivo creado en una ubicación accesible para todos, manipular una consulta a una base de datos o activar una solicitud de red saliente para comprobar si es posible ejecutar código de forma remota.
Google evita que las posibilidades no verificadas lleguen a las bandejas de entrada de los equipos de producto. Las conserva internamente para orientar análisis posteriores y ayudar a los ingenieros a crear verificadores para vulnerabilidades que las pruebas actuales no pueden confirmar. Esta decisión tiene una contrapartida: Google reconoce que sus verificadores no cubren todos los fallos ni los escenarios complejos, por lo que podrían pasar por alto algunas vulnerabilidades reales.
¿Qué dice Google que encontró?
InfoQ recoge tres ejemplos descritos por el ingeniero de seguridad de Google Michał Bentkowski: un fallo XSS, un envenenamiento de caché relacionado con una configuración incorrecta del servicio y una vulnerabilidad de recorrido de rutas. Google dice que PageBreak puede rastrear el código en su amplio repositorio compartido y utilizar señales de seguridad del tráfico web en vivo para relacionar las rutas de los sitios web con el código fuente. Sus analizadores actuales también permiten acceder a muchas aplicaciones web autenticadas.
Google dice que, al 4 de septiembre de 2026, había encontrado solo dos fallos XSS en cientos de aplicaciones creadas con sus marcos web de alta seguridad. Se trataba de aplicaciones internas o endpoints de depuración con deficiencias en su protección. Google presenta este dato como evidencia a favor de los marcos diseñados para ser seguros; no es una comparación directa entre PageBreak y otro analizador.
La empresa planea integrar PageBreak más estrechamente con proyectos de reparación automatizada, incluido CodeMender. Su objetivo declarado es que los equipos de producto dediquen menos tiempo a investigar informes y más a revisar las soluciones propuestas. Google no ha dicho cuándo estará lista esa integración.
Por qué importa
Para los equipos de producto de Google, exigir que un exploit se pueda reproducir antes de transmitir un informe podría reducir el tiempo dedicado a revisar falsas alarmas. La empresa dice que PageBreak ha encontrado más de 500 fallos XSS, pero esa cifra no se ha verificado de forma independiente y Google reconoce que sus pruebas podrían pasar por alto algunas vulnerabilidades.
