구글은 내부 AI 보안 에이전트 PageBreak가 2026년 1월 전면 운영에 들어간 뒤 자사 웹 애플리케이션에서 크로스사이트 스크립팅 취약점 500건 이상을 찾아냈다고 밝혔다. 크로스사이트 스크립팅(XSS)은 공격자가 웹사이트에서 방문자의 브라우저에 원치 않는 코드를 실행하게 하는 취약점이다.
이 에이전트는 Gemini 모델로 잠재적 결함을 조사하지만, 의심되는 버그는 별도의 비AI 검증기가 실제 실행 중인 애플리케이션에서 재현한 뒤에야 제품팀에 보고된다. 구글은 이 방식으로 오탐을 거의 없앴다고 설명한다. InfoQ는 발견된 취약점이 독립적으로 검증되지는 않았다고 전했다.
PageBreak는 구글 자체 웹 애플리케이션을 대상으로 만들어졌으며, 고객이 사용할 수 있는 도구로 소개된 것은 아니다. 구글에 따르면 대부분의 작업에는 Gemini 3.1 Pro 또는 Gemini 3.5 Flash가 쓰이지만, 다른 모델도 사용할 수 있다.
의심되는 버그를 어떻게 확인하나?
PageBreak는 코드 패턴만 살펴보는 대신, 잠재적 취약점을 보안 엔지니어가 작성한 전문 검증기에 전달한다. XSS 신고의 경우 검증기가 JavaScript를 삽입한 뒤 브라우저에서 실제로 실행되는지 확인한다. 다른 검증은 누구나 읽을 수 있는 위치에 만든 파일을 읽거나, 데이터베이스 쿼리를 조작하거나, 원격 코드 실행 여부를 확인하기 위해 외부 네트워크 요청을 유발할 수 있다.
구글은 검증되지 않은 가능성을 제품팀의 받은편지함에 보내지 않는다. 대신 이를 내부에 보관해 이후 검사에 활용하고, 현재 검증기로 확인할 수 없는 취약점을 검증하는 도구를 엔지니어들이 만들도록 돕는다. 여기에는 절충점도 있다. 구글은 검증기가 모든 결함이나 복잡한 상황을 다루지는 못하므로 실제 버그 일부를 놓칠 수 있다고 인정했다.
구글은 어떤 취약점을 찾았다고 밝혔나?
InfoQ는 구글 보안 엔지니어 Michał Bentkowski가 설명한 사례 세 가지를 보도했다. XSS 버그, 서비스 설정 오류와 관련된 캐시 포이즈닝, 경로 순회 취약점이다. 구글은 PageBreak가 대규모 공용 코드 저장소의 코드를 따라가고, 실시간 웹 트래픽에서 얻은 보안 신호를 이용해 웹사이트 경로와 소스 코드를 연결할 수 있다고 밝혔다. 기존 스캐너를 통해 인증이 필요한 웹 애플리케이션에도 접근할 수 있다.
구글은 보안 보장 수준이 높은 자체 웹 프레임워크로 만든 별도 애플리케이션 수백 개에서 2026년 9월 4일 기준 XSS 취약점 두 건만 발견했다고 밝혔다. 두 건 모두 보안 강화가 미흡한 내부 애플리케이션이나 디버그 엔드포인트에서 발견됐다. 구글은 이를 보안이 설계 단계부터 고려된 프레임워크의 근거로 제시했으며, PageBreak를 다른 스캐너와 직접 비교한 결과는 아니다.
구글은 PageBreak를 CodeMender를 비롯한 자동 수정 프로젝트와 더 긴밀히 연동할 계획이다. 구글이 밝힌 목표는 제품팀이 신고 내용을 조사하는 데 쓰는 시간을 줄이고, 제안된 수정 사항을 검토하는 데 더 집중하도록 하는 것이다. 구글은 연동이 언제 완료될지는 밝히지 않았다.
왜 중요한가
재현 가능한 공격이 확인된 뒤에만 신고를 전달하면 구글 제품팀이 오탐을 확인하는 데 쓰는 시간을 줄일 수 있다. 구글은 PageBreak가 XSS 버그 500건 이상을 찾았다고 밝혔지만, 이 수치는 독립적으로 검증되지 않았으며 구글도 검사 과정에서 일부 취약점을 놓칠 수 있다고 인정했다.
