Google zegt dat zijn interne AI-beveiligingsagent PageBreak sinds de volledige ingebruikname in januari 2026 meer dan 500 cross-sitescriptingkwetsbaarheden in de webapps van het bedrijf heeft ontdekt. Met cross-site scripting (XSS) kan een aanvaller een website ongewenste code laten uitvoeren in de browser van een bezoeker.
De agent gebruikt Gemini-modellen om mogelijke kwetsbaarheden te onderzoeken. Een vermoedelijke bug wordt echter pas aan een productteam gemeld nadat een aparte validator, die geen AI gebruikt, de kwetsbaarheid in een draaiende applicatie heeft gereproduceerd. Volgens Google houdt deze aanpak het aantal fout-positieven vrijwel op nul. InfoQ merkt op dat de bevindingen niet onafhankelijk zijn gevalideerd.
PageBreak is ontwikkeld voor Googles eigen webapplicaties, niet als tool voor klanten. Volgens Google is het gebruik vooral gebaseerd op Gemini 3.1 Pro of Gemini 3.5 Flash, maar het systeem kan ook met andere modellen werken.
Hoe controleert PageBreak een vermoedelijke bug?
In plaats van alleen op codepatronen te vertrouwen, geeft PageBreak een mogelijke kwetsbaarheid door aan gespecialiseerde validators die door beveiligingsengineers zijn geschreven. Bij een XSS-melding injecteert een validator JavaScript en controleert die of de code daadwerkelijk in een browser wordt uitgevoerd. Andere controles kunnen proberen een bestand te lezen dat op een voor iedereen toegankelijke locatie is aangemaakt, een databasequery te manipuleren of een uitgaand netwerkverzoek te versturen om te testen op uitvoering van code op afstand.
Google houdt niet-geverifieerde vermoedens buiten de inboxen van productteams. Het bedrijf bewaart ze intern om latere scans te sturen en engineers te helpen validators te bouwen voor kwetsbaarheden die met de huidige controles niet kunnen worden bevestigd. Daar staat iets tegenover: Google erkent dat de validators niet elke kwetsbaarheid of complexe situatie afdekken, waardoor sommige echte bugs onopgemerkt kunnen blijven.
Wat zegt Google te hebben gevonden?
InfoQ beschrijft drie voorbeelden die Google-beveiligingsengineer Michał Bentkowski noemde: een XSS-bug, cache poisoning als gevolg van een verkeerde serviceconfiguratie en een path-traversalkwetsbaarheid. Google zegt dat PageBreak code kan volgen in de grote, gedeelde coderepository van het bedrijf en beveiligingssignalen uit live webverkeer kan gebruiken om websitepaden aan broncode te koppelen. Ook geven bestaande scanners toegang tot veel webapplicaties waarvoor inloggen vereist is.
Volgens Google waren er op 4 september 2026 slechts twee XSS-bevindingen in honderden applicaties die zijn gebouwd met de high-assurance-webframeworks van het bedrijf. Het ging om interne applicaties of debug-endpoints met tekortkomingen in de beveiliging. Google ziet dit als bewijs voor het nut van frameworks die vanaf het ontwerp veilig zijn; het is geen rechtstreekse vergelijking tussen PageBreak en een andere scanner.
Het bedrijf wil PageBreak nauwer koppelen aan projecten voor geautomatiseerd herstel, waaronder CodeMender. Het doel is volgens Google dat productteams minder tijd kwijt zijn aan het onderzoeken van meldingen en meer tijd kunnen besteden aan het beoordelen van voorgestelde oplossingen. Google heeft niet gezegd wanneer die integratie klaar zal zijn.
Waarom het ertoe doet
Voor Googles productteams kan de eis dat een exploit reproduceerbaar is voordat een melding wordt doorgegeven, de tijd beperken die ze kwijt zijn aan het controleren van valse alarmen. Volgens het bedrijf heeft PageBreak meer dan 500 XSS-bugs gevonden, maar dat aantal is niet onafhankelijk gevalideerd. Google erkent bovendien dat de controles sommige kwetsbaarheden kunnen missen.
