# Google: PageBreak ha trovato oltre 500 bug XSS

> L’agente di sicurezza interno di Google verifica i possibili bug con exploit reali prima di segnalarli. L’azienda afferma di averne individuati più di 500 nelle proprie app web.

Oossa · 2026-10-31 · https://oossa.com/it/google-says-pagebreak-found-more-than-500-xss-bugs

Google afferma che il suo agente di sicurezza interno basato sull’IA, PageBreak, ha individuato più di 500 vulnerabilità di cross-site scripting nelle applicazioni web dell’azienda da quando è entrato a pieno regime, nel gennaio 2026. Il cross-site scripting, o XSS, consente a un aggressore di far eseguire codice indesiderato nel browser di chi visita un sito.

L’agente usa i modelli Gemini per analizzare le possibili vulnerabilità, ma un bug sospetto viene segnalato al team di prodotto solo dopo che un validatore separato, non basato sull’IA, lo ha riprodotto su un’applicazione in esecuzione. Google afferma che questo approccio riduce quasi a zero i falsi positivi. InfoQ osserva che i risultati non sono stati verificati in modo indipendente.

PageBreak è stato sviluppato per le applicazioni web proprietarie di Google e non viene presentato come uno strumento a disposizione dei clienti. Google afferma che la maggior parte degli utilizzi si basa su Gemini 3.1 Pro o Gemini 3.5 Flash, anche se il sistema può funzionare con altri modelli.

## Come verifica un bug sospetto?

Invece di basarsi soltanto su schemi nel codice, PageBreak affida le possibili vulnerabilità a validatori specializzati, sviluppati da ingegneri della sicurezza. Per una segnalazione di XSS, un validatore inserisce codice JavaScript e controlla se viene effettivamente eseguito in un browser. Altri test possono tentare di leggere un file creato in una posizione accessibile a tutti, manipolare una query al database o attivare una richiesta di rete in uscita per verificare la presenza di un’esecuzione di codice da remoto.

Google evita di intasare le caselle di posta dei team di prodotto con ipotesi non verificate. Le conserva internamente per orientare le scansioni successive e aiutare gli ingegneri a creare validatori per le vulnerabilità che i controlli attuali non riescono a confermare. Questa scelta comporta un compromesso: Google riconosce che i suoi validatori non coprono tutti i bug né gli scenari più complessi, quindi alcune vulnerabilità reali potrebbero sfuggire.

## Che cosa afferma di aver trovato Google?

InfoQ riporta tre esempi descritti dall’ingegnere della sicurezza di Google Michał Bentkowski: un bug XSS, un avvelenamento della cache legato a una configurazione errata del servizio e una vulnerabilità di path traversal. Google afferma che PageBreak può seguire il codice attraverso il suo ampio repository condiviso e usare i segnali di sicurezza ricavati dal traffico web in tempo reale per collegare i percorsi dei siti al codice sorgente. Gli scanner già in uso consentono inoltre di accedere a molte applicazioni web autenticate.

Google afferma che, al 4 settembre 2026, in centinaia di applicazioni basate sui suoi framework web ad alta sicurezza erano state individuate solo due vulnerabilità XSS. Si trovavano in applicazioni interne o endpoint di debug con lacune nelle misure di protezione. Google presenta il dato come una prova a favore dei framework progettati per essere sicuri; non è un confronto diretto tra PageBreak e un altro scanner.

L’azienda intende integrare più strettamente PageBreak con i progetti di riparazione automatizzata, tra cui CodeMender. L’obiettivo dichiarato è consentire ai team di prodotto di dedicare meno tempo all’analisi delle segnalazioni e più tempo alla revisione delle correzioni proposte. Google non ha indicato quando sarà completata l’integrazione.

## I fatti

- Google afferma che PageBreak ha individuato più di 500 vulnerabilità XSS nelle sue app web proprietarie.
- Secondo Google, il progetto è passato dalla fase pilota alla piena operatività nel gennaio 2026.
- Secondo Google, la maggior parte degli utilizzi di PageBreak si basa su Gemini 3.1 Pro o Gemini 3.5 Flash.
- Al 4 settembre 2026, Google afferma di aver individuato due bug XSS in centinaia di app basate sui suoi framework ad alta sicurezza.

## Perché conta

Per i team di prodotto di Google, richiedere la riproduzione di un exploit prima di inoltrare una segnalazione potrebbe ridurre il tempo dedicato alla verifica dei falsi allarmi. L’azienda afferma che PageBreak ha individuato più di 500 bug XSS, ma il dato non è stato verificato in modo indipendente e Google riconosce che i suoi controlli potrebbero non rilevare alcune vulnerabilità.

## Fonti e riferimenti

1. [Google Discloses PageBreak AI Security Agent That Found 500+ XSS Bugs](https://www.infoq.com/news/2026/10/google-pagebreak-security-agent/?utm_campaign=infoq_content&utm_source=infoq&utm_medium=feed&utm_term=AI%2C+ML+%26+Data+Engineering) – InfoQ, 2026-10-31
2. [Google](https://blog.google/security/agentic-hacks-real-proofs-inside-googles-pagebreak-project/) – Google

Ultimo aggiornamento: 2026-10-31