Google affirme que son agent interne de sécurité fondé sur l’IA, PageBreak, a découvert plus de 500 vulnérabilités de type cross-site scripting dans les applications Web de l’entreprise depuis son entrée en service à plein régime, en janvier 2026. Le cross-site scripting, ou XSS, permet à un attaquant de faire exécuter du code indésirable par le navigateur d’un visiteur.
L’agent utilise les modèles Gemini pour examiner les failles possibles, mais une vulnérabilité présumée n’est signalée à l’équipe produit qu’après avoir été reproduite sur une application en fonctionnement par un validateur distinct, qui ne fait pas appel à l’IA. Google affirme que cette méthode ramène presque à zéro les faux positifs. InfoQ précise que les résultats n’ont pas été validés de manière indépendante.
PageBreak est conçu pour les applications Web propriétaires de Google et n’est pas présenté comme un outil destiné aux clients. Google indique que la plupart des analyses reposent sur Gemini 3.1 Pro ou Gemini 3.5 Flash, même si le système peut fonctionner avec d’autres modèles.
Comment vérifie-t-il une faille présumée ?
Au lieu de s’appuyer uniquement sur des motifs de code, PageBreak transmet les vulnérabilités potentielles à des validateurs spécialisés, conçus par des ingénieurs en sécurité. Pour un signalement de XSS, un validateur injecte du JavaScript et vérifie s’il s’exécute réellement dans un navigateur. D’autres tests peuvent tenter de lire un fichier créé dans un emplacement accessible à tous, de manipuler une requête de base de données ou de déclencher une requête réseau sortante afin de vérifier la possibilité d’exécution de code à distance.
Google évite d’encombrer les boîtes de réception des équipes produit avec des pistes non vérifiées. L’entreprise les conserve en interne afin d’orienter les analyses ultérieures et d’aider les ingénieurs à créer des validateurs pour les vulnérabilités que les contrôles actuels ne peuvent pas confirmer. Ce choix a toutefois un revers : Google reconnaît que ses validateurs ne couvrent pas toutes les failles ni les scénarios complexes, et que certaines vulnérabilités réelles peuvent donc passer inaperçues.
Quelles découvertes Google met-il en avant ?
InfoQ rapporte trois exemples présentés par l’ingénieur en sécurité de Google Michał Bentkowski : une faille XSS, un empoisonnement du cache lié à une mauvaise configuration de service et une vulnérabilité de traversée de répertoires. Google affirme que PageBreak peut suivre le code dans son vaste dépôt partagé et exploiter les signaux de sécurité issus du trafic Web en direct pour relier les chemins des sites au code source. Les scanners déjà en place donnent également accès à de nombreuses applications Web nécessitant une authentification.
Google affirme qu’au 4 septembre 2026, un ensemble distinct d’applications reposant sur ses frameworks Web à haute assurance ne comptait que deux failles XSS sur plusieurs centaines d’applications. Elles se trouvaient dans des applications internes ou des points de terminaison de débogage dont le renforcement comportait des lacunes. Google présente ce résultat comme un argument en faveur des frameworks conçus pour être sécurisés dès leur conception ; il ne s’agit pas d’une comparaison directe entre PageBreak et un autre scanner.
L’entreprise prévoit d’intégrer plus étroitement PageBreak à ses projets de réparation automatisée, dont CodeMender. Son objectif déclaré est de permettre aux équipes produit de consacrer moins de temps à l’examen des signalements et davantage à l’évaluation des correctifs proposés. Google n’a pas indiqué quand cette intégration serait achevée.
Pourquoi c'est important
Pour les équipes produit de Google, exiger qu’un exploit reproductible soit démontré avant de transmettre un signalement pourrait réduire le temps consacré à vérifier les fausses alertes. L’entreprise affirme que PageBreak a découvert plus de 500 failles XSS, mais ce chiffre n’a pas fait l’objet d’une validation indépendante, et Google reconnaît que ses contrôles peuvent laisser passer certaines vulnérabilités.
