# Google diz que PageBreak encontrou mais de 500 falhas XSS

> O agente interno de segurança do Google testa possíveis falhas com exploits reais antes de reportá-las. A empresa afirma ter encontrado mais de 500 vulnerabilidades de cross-site scripting em seus aplicativos web.

Oossa · 2026-10-31 · https://oossa.com/pt/google-says-pagebreak-found-more-than-500-xss-bugs

O Google afirma que seu agente interno de segurança com IA, PageBreak, descobriu mais de 500 vulnerabilidades de cross-site scripting nos aplicativos web da empresa desde que entrou em operação plena, em janeiro de 2026. O cross-site scripting, ou XSS, permite que um invasor faça um site executar código indesejado no navegador de quem o visita.

O agente usa modelos Gemini para investigar possíveis falhas, mas um problema suspeito só é reportado à equipe do produto depois que um validador separado, sem IA, consegue reproduzi-lo em um aplicativo em funcionamento. O Google diz que essa abordagem mantém os falsos positivos perto de zero. O InfoQ observa que as descobertas não foram validadas de forma independente.

O PageBreak foi desenvolvido para os aplicativos web próprios do Google, e não é apresentado como uma ferramenta disponível para clientes. Segundo a empresa, a maior parte do uso depende do Gemini 3.1 Pro ou do Gemini 3.5 Flash, embora o sistema possa funcionar com outros modelos.

## Como ele verifica uma possível falha?

Em vez de se basear apenas em padrões de código, o PageBreak encaminha uma possível vulnerabilidade a validadores especializados, desenvolvidos por engenheiros de segurança. Para um relato de XSS, um validador injeta JavaScript e verifica se o código é realmente executado no navegador. Outros testes podem tentar ler um arquivo criado em um local acessível a todos, manipular uma consulta ao banco de dados ou provocar uma solicitação de rede de saída para testar a execução remota de código.

O Google evita enviar possibilidades ainda não verificadas às equipes de produto. A empresa as mantém internamente para orientar verificações futuras e ajudar engenheiros a criar validadores para vulnerabilidades que os testes atuais não conseguem confirmar. Essa escolha tem uma contrapartida: o Google reconhece que seus validadores não cobrem todas as falhas nem cenários complexos, por isso alguns problemas reais podem passar despercebidos.

## O que o Google diz ter encontrado?

O InfoQ relata três exemplos descritos pelo engenheiro de segurança do Google Michał Bentkowski: uma falha de XSS, um envenenamento de cache ligado a uma configuração incorreta do serviço e uma vulnerabilidade de travessia de diretórios. O Google diz que o PageBreak consegue rastrear o código em seu grande repositório compartilhado e usar sinais de segurança do tráfego web em tempo real para relacionar caminhos de sites ao código-fonte. Os scanners existentes da empresa também dão acesso a muitos aplicativos web autenticados.

Segundo o Google, um conjunto separado de aplicativos criados com seus frameworks web de alta garantia tinha apenas duas vulnerabilidades de XSS em centenas de aplicativos até 4 de setembro de 2026. Elas estavam em aplicativos internos ou endpoints de depuração com lacunas de proteção. O Google apresenta isso como evidência da eficácia de frameworks seguros desde a concepção; não se trata de uma comparação direta entre o PageBreak e outro scanner.

A empresa planeja integrar mais estreitamente o PageBreak a projetos de reparo automatizado, incluindo o CodeMender. O objetivo declarado é fazer com que as equipes de produto gastem menos tempo investigando relatos e mais tempo avaliando as correções propostas. O Google não informou quando essa integração será concluída.

## Os fatos

- O Google afirma que o PageBreak encontrou mais de 500 vulnerabilidades de XSS em seus aplicativos web próprios.
- Segundo o Google, o projeto passou da fase piloto para a operação plena em janeiro de 2026.
- De acordo com o Google, a maior parte do uso do PageBreak depende do Gemini 3.1 Pro ou do Gemini 3.5 Flash.
- Até 4 de setembro de 2026, o Google afirma ter encontrado duas falhas de XSS em centenas de aplicativos criados com seus frameworks de alta garantia.

## Por que importa

Para as equipes de produto do Google, exigir a reprodução de um exploit antes de encaminhar um relato pode reduzir o tempo gasto na verificação de falsos alarmes. A empresa afirma que o PageBreak encontrou mais de 500 falhas de XSS, mas essa contagem não foi validada de forma independente, e o Google reconhece que seus testes podem deixar passar algumas vulnerabilidades.

## Fontes e referências

1. [Google Discloses PageBreak AI Security Agent That Found 500+ XSS Bugs](https://www.infoq.com/news/2026/10/google-pagebreak-security-agent/?utm_campaign=infoq_content&utm_source=infoq&utm_medium=feed&utm_term=AI%2C+ML+%26+Data+Engineering) – InfoQ, 2026-10-31
2. [Google](https://blog.google/security/agentic-hacks-real-proofs-inside-googles-pagebreak-project/) – Google

Última atualização: 2026-10-31