Google uppger att den interna AI-säkerhetsagenten PageBreak har hittat över 500 sårbarheter av typen cross-site scripting i företagets webbapplikationer sedan den togs i full drift i januari 2026. Cross-site scripting, eller XSS, gör det möjligt för en angripare att få en webbplats att köra oönskad kod i en besökares webbläsare.
Agenten använder Gemini-modeller för att undersöka möjliga brister, men en misstänkt sårbarhet rapporteras till ett produktteam först efter att en separat validator, som inte använder AI, har återskapat den i en körande applikation. Google säger att metoden håller antalet falsklarm nära noll. InfoQ påpekar att resultaten inte har verifierats oberoende.
PageBreak är utvecklad för Googles egna webbapplikationer, inte som ett verktyg för kunder. Google säger att den mesta användningen bygger på Gemini 3.1 Pro eller Gemini 3.5 Flash, men systemet kan även fungera med andra modeller.
Hur kontrollerar den en misstänkt brist?
I stället för att enbart förlita sig på kodmönster skickar PageBreak en möjlig sårbarhet vidare till specialiserade validatorer som säkerhetsingenjörer har skrivit. Vid en XSS-rapport injicerar en validator JavaScript och kontrollerar om koden faktiskt körs i en webbläsare. Andra kontroller kan försöka läsa en fil som skapats på en plats som är läsbar för alla, manipulera en databasfråga eller utlösa en utgående nätverksbegäran för att testa om det går att köra kod på distans.
Google ser till att overifierade misstankar inte hamnar i produktteamens inkorgar. De sparas internt för att vägleda framtida genomsökningar och hjälpa ingenjörer att ta fram validatorer för sårbarheter som dagens kontroller inte kan bekräfta. Det finns en avvägning: Google medger att validatorerna inte täcker alla brister eller komplicerade scenarier, vilket innebär att vissa verkliga sårbarheter kan missas.
Vad säger Google att verktyget har hittat?
InfoQ rapporterar om tre exempel som Googles säkerhetsingenjör Michał Bentkowski beskrivit: en XSS-brist, cacheförgiftning kopplad till en felaktig tjänstekonfiguration och en sökvägsmanipuleringsbrist. Google säger att PageBreak kan följa kod genom företagets stora, gemensamma kodförråd och använda säkerhetssignaler från aktuell webbtrafik för att koppla webbsökvägar till källkod. Befintliga skannrar ger också åtkomst till många autentiserade webbapplikationer.
Google uppger att en separat grupp applikationer byggda med företagets webbramverk med höga säkerhetskrav hade två XSS-brister sammanlagt i hundratals applikationer per den 4 september 2026. Bristerna fanns i interna applikationer eller felsökningsgränssnitt där härdningen hade luckor. Google lyfter fram detta som belägg för ramverk med säkerhet inbyggd från början; det är inte en direkt jämförelse mellan PageBreak och en annan skanner.
Företaget planerar att knyta PageBreak närmare till projekt för automatiserade reparationer, däribland CodeMender. Målet, enligt Google, är att produktteamen ska lägga mindre tid på att undersöka rapporter och mer tid på att granska föreslagna lösningar. Google har inte sagt när integrationen ska vara klar.
Varför det spelar roll
För Googles produktteam kan kravet på att ett angrepp ska kunna återskapas innan en rapport skickas vidare minska tiden som läggs på att kontrollera falsklarm. Företaget säger att PageBreak har hittat över 500 XSS-brister, men uppgiften har inte verifierats oberoende och Google medger att kontrollerna kan missa vissa sårbarheter.
