По данным Google, внутренний ИИ-агент для обеспечения безопасности PageBreak обнаружил более 500 уязвимостей межсайтового скриптинга в веб-приложениях компании с момента перехода к полноценной работе в январе 2026 года. Межсайтовый скриптинг, или XSS, позволяет злоумышленнику заставить сайт выполнять нежелательный код в браузере посетителя.
Агент использует модели Gemini для поиска потенциальных уязвимостей, однако о предполагаемом баге сообщают команде продукта только после того, как отдельный валидатор без ИИ воспроизводит его на работающем приложении. По словам Google, такой подход позволяет свести число ложных срабатываний почти к нулю. InfoQ отмечает, что результаты не проходили независимую проверку.
PageBreak создан для собственных веб-приложений Google и не позиционируется как инструмент для клиентов компании. По словам Google, в большинстве случаев система использует Gemini 3.1 Pro или Gemini 3.5 Flash, хотя может работать и с другими моделями.
Как система проверяет предполагаемые уязвимости?
Вместо того чтобы полагаться только на поиск определённых шаблонов в коде, PageBreak передаёт возможную уязвимость специализированным валидаторам, созданным инженерами по безопасности. При проверке XSS валидатор внедряет JavaScript и смотрит, выполняется ли он в браузере. Другие проверки могут попытаться прочитать файл, созданный в общедоступном месте, изменить запрос к базе данных или вызвать исходящий сетевой запрос, чтобы проверить возможность удалённого выполнения кода.
Google не отправляет неподтверждённые предположения командам продуктов. Компания сохраняет их во внутренней системе, чтобы использовать при последующих проверках и помогать инженерам создавать валидаторы для уязвимостей, которые не удаётся подтвердить существующими средствами. У такого решения есть и обратная сторона: Google признаёт, что валидаторы не охватывают все уязвимости и сложные сценарии, поэтому некоторые реальные баги могут остаться незамеченными.
Что, по словам Google, удалось обнаружить?
InfoQ приводит три примера, описанных инженером по безопасности Google Михалом Бентковским: уязвимость XSS, отравление кеша из-за неправильной конфигурации сервиса и уязвимость обхода каталогов. Google утверждает, что PageBreak умеет отслеживать связи между кодом в большом общем репозитории компании и использовать сигналы безопасности из трафика работающих сайтов, чтобы сопоставлять пути на сайтах с исходным кодом. Существующие сканеры компании также дают доступ ко многим веб-приложениям, для которых требуется аутентификация.
По данным Google, в отдельной группе приложений, созданных на базе защищённых веб-фреймворков компании, по состоянию на September 4, 2026, было найдено всего две XSS-уязвимости — на сотнях приложений. Они находились во внутренних приложениях или отладочных конечных точках с недостаточной защитой. Google приводит это как свидетельство эффективности фреймворков, изначально спроектированных с учётом безопасности; это не прямое сравнение PageBreak с другим сканером.
Компания планирует теснее связать PageBreak с проектами автоматического исправления уязвимостей, включая CodeMender. По замыслу Google, командам продуктов придётся меньше времени тратить на разбор сообщений об уязвимостях и больше — на проверку предлагаемых исправлений. Компания не сообщила, когда интеграция будет завершена.
Почему это важно
Для команд Google требование воспроизвести эксплойт до передачи сообщения об уязвимости может сократить время, которое уходит на проверку ложных срабатываний. Компания утверждает, что PageBreak обнаружил более 500 XSS-уязвимостей, однако независимого подтверждения этой цифры нет, и Google признаёт, что некоторые уязвимости могут ускользнуть от его проверок.
