Googleによると、社内のAIセキュリティエージェント「PageBreak」は、2026年1月に本格稼働して以来、同社のウェブアプリで500件を超えるクロスサイトスクリプティング（XSS）の脆弱性を発見した。XSSでは、攻撃者がウェブサイトに不正なコードを実行させ、訪問者のブラウザー上で動かすことができる。
PageBreakはGeminiモデルを使って脆弱性の可能性を調査する。ただし、疑わしい不具合を製品チームに報告するのは、別の非AI検証ツールが稼働中のアプリで再現できた場合に限られる。Googleは、この方法により誤検知をほぼゼロに抑えられるとしている。InfoQは、これらの発見が独立に検証されていないと指摘している。
PageBreakはGoogle自身が提供するウェブアプリ向けに構築されたもので、顧客が利用できるツールとして紹介されているわけではない。Googleによると、利用の大半ではGemini 3.1 ProまたはGemini 3.5 Flashを使うが、ほかのモデルでも動作する。
疑わしい脆弱性をどう検証するのか？
PageBreakはコードのパターンだけに頼らず、セキュリティエンジニアが作成した専用の検証ツールに脆弱性の可能性を渡す。XSSの報告では、検証ツールがJavaScriptを注入し、ブラウザー上で実際に実行されるかを確認する。ほかにも、誰でも読み取れる場所に作成したファイルの読み取り、データベースクエリーの操作、リモートコード実行の検証を目的とした外部へのネットワークリクエストの発生などを試すことができる。
Googleは、検証されていない可能性を製品チームに報告しない。そうした情報は社内に保存し、後続のスキャンに役立てるほか、現在の検証では確認できない脆弱性に対応する検証ツールの開発にも活用する。この方法にはトレードオフもある。Googleは、検証ツールがすべての脆弱性や複雑な状況に対応しているわけではなく、実際の不具合を見逃す可能性があると認めている。
Googleが発見した脆弱性とは？
InfoQは、Googleのセキュリティエンジニア、Michał Bentkowskiが説明した3つの事例を紹介している。XSSの不具合、サービスの設定ミスに関連したキャッシュポイズニング、パストラバーサルの脆弱性だ。Googleによると、PageBreakは大規模な共有コードリポジトリーを横断してコードを追跡し、稼働中のウェブトラフィックから得られるセキュリティシグナルを使って、ウェブサイトのパスとソースコードを結び付けられる。また、既存のスキャナーを通じて、多くの認証済みウェブアプリにもアクセスできる。
Googleによると、高い保証水準を備えたウェブフレームワークで構築された別のアプリ群では、2026年9月4日時点で、数百のアプリ全体から見つかったXSSは2件だった。いずれも社内アプリまたはデバッグ用エンドポイントにあり、強化対策に不備があった。Googleはこれをセキュア・バイ・デザインのフレームワークの有効性を示すものとしている。PageBreakと別のスキャナーを直接比較した結果ではない。
同社は、PageBreakをCodeMenderなどの自動修復プロジェクトとより緊密に連携させる計画だ。製品チームが報告の調査に費やす時間を減らし、修正案のレビューにより多くの時間を使えるようにすることが目標だという。Googleは、この連携がいつ完了するかは明らかにしていない。
なぜ重要か
再現可能な攻撃を確認してから報告を引き継ぐことで、Googleの製品チームは誤報の確認に費やす時間を減らせる可能性がある。同社はPageBreakが500件を超えるXSSの不具合を発見したとしているが、その件数は独立に検証されておらず、検査で一部の脆弱性を見逃す可能性も認めている。
