O Google afirma que seu agente interno de segurança com IA, PageBreak, descobriu mais de 500 vulnerabilidades de cross-site scripting nos aplicativos web da empresa desde que entrou em operação plena, em janeiro de 2026. O cross-site scripting, ou XSS, permite que um invasor faça um site executar código indesejado no navegador de quem o visita.
O agente usa modelos Gemini para investigar possíveis falhas, mas um problema suspeito só é reportado à equipe do produto depois que um validador separado, sem IA, consegue reproduzi-lo em um aplicativo em funcionamento. O Google diz que essa abordagem mantém os falsos positivos perto de zero. O InfoQ observa que as descobertas não foram validadas de forma independente.
O PageBreak foi desenvolvido para os aplicativos web próprios do Google, e não é apresentado como uma ferramenta disponível para clientes. Segundo a empresa, a maior parte do uso depende do Gemini 3.1 Pro ou do Gemini 3.5 Flash, embora o sistema possa funcionar com outros modelos.
Como ele verifica uma possível falha?
Em vez de se basear apenas em padrões de código, o PageBreak encaminha uma possível vulnerabilidade a validadores especializados, desenvolvidos por engenheiros de segurança. Para um relato de XSS, um validador injeta JavaScript e verifica se o código é realmente executado no navegador. Outros testes podem tentar ler um arquivo criado em um local acessível a todos, manipular uma consulta ao banco de dados ou provocar uma solicitação de rede de saída para testar a execução remota de código.
O Google evita enviar possibilidades ainda não verificadas às equipes de produto. A empresa as mantém internamente para orientar verificações futuras e ajudar engenheiros a criar validadores para vulnerabilidades que os testes atuais não conseguem confirmar. Essa escolha tem uma contrapartida: o Google reconhece que seus validadores não cobrem todas as falhas nem cenários complexos, por isso alguns problemas reais podem passar despercebidos.
O que o Google diz ter encontrado?
O InfoQ relata três exemplos descritos pelo engenheiro de segurança do Google Michał Bentkowski: uma falha de XSS, um envenenamento de cache ligado a uma configuração incorreta do serviço e uma vulnerabilidade de travessia de diretórios. O Google diz que o PageBreak consegue rastrear o código em seu grande repositório compartilhado e usar sinais de segurança do tráfego web em tempo real para relacionar caminhos de sites ao código-fonte. Os scanners existentes da empresa também dão acesso a muitos aplicativos web autenticados.
Segundo o Google, um conjunto separado de aplicativos criados com seus frameworks web de alta garantia tinha apenas duas vulnerabilidades de XSS em centenas de aplicativos até 4 de setembro de 2026. Elas estavam em aplicativos internos ou endpoints de depuração com lacunas de proteção. O Google apresenta isso como evidência da eficácia de frameworks seguros desde a concepção; não se trata de uma comparação direta entre o PageBreak e outro scanner.
A empresa planeja integrar mais estreitamente o PageBreak a projetos de reparo automatizado, incluindo o CodeMender. O objetivo declarado é fazer com que as equipes de produto gastem menos tempo investigando relatos e mais tempo avaliando as correções propostas. O Google não informou quando essa integração será concluída.
Por que importa
Para as equipes de produto do Google, exigir a reprodução de um exploit antes de encaminhar um relato pode reduzir o tempo gasto na verificação de falsos alarmes. A empresa afirma que o PageBreak encontrou mais de 500 falhas de XSS, mas essa contagem não foi validada de forma independente, e o Google reconhece que seus testes podem deixar passar algumas vulnerabilidades.
