Google称PageBreak已发现500多个XSS漏洞

Google称，其内部AI安全智能体PageBreak自2026年1月全面投入运行以来，已在公司Web应用中发现500多个跨站脚本漏洞。跨站脚本（XSS）漏洞会让攻击者在访问者的浏览器中运行未经授权的代码。

PageBreak使用Gemini模型调查潜在漏洞，但只有在另一个非AI验证器对正在运行的应用成功复现后，疑似漏洞才会报告给产品团队。Google称，这种做法能让误报率接近于零。InfoQ指出，这些发现尚未经过独立验证。

PageBreak专为Google自有的第一方Web应用打造，并非面向客户提供的工具。Google称，其使用大多依赖Gemini 3.1 Pro或Gemini 3.5 Flash，不过该系统也能使用其他模型。

它如何检查疑似漏洞？

PageBreak并不只依赖代码模式，而是将潜在漏洞交给安全工程师编写的专用验证器。对于XSS报告，验证器会注入JavaScript，并检查它是否真的能在浏览器中运行。其他测试可以尝试读取存放在所有用户均可读取位置的文件、操纵数据库查询，或触发外发网络请求，以测试远程代码执行漏洞。

Google不会把未经验证的可能漏洞发给产品团队，而是将其留在内部，用于指导后续扫描，并帮助工程师为现有检查无法确认的漏洞编写验证器。这种做法也有代价：Google承认，验证器无法覆盖所有漏洞或复杂场景，因此可能漏掉一些真实存在的漏洞。

Google称发现了什么？

InfoQ报道，Google安全工程师Michał Bentkowski介绍了三个案例：一个XSS漏洞、一个由服务配置错误引发的缓存投毒漏洞，以及一个路径遍历漏洞。Google称，PageBreak可以在庞大的共享代码仓库中追踪代码，并利用实时Web流量中的安全信号，将网站路径与源代码关联起来。该系统还可以借助Google现有的扫描器访问许多需要身份验证的Web应用。

Google称，截至2026年9月4日，在数百个基于其高保障Web框架构建的应用中，只发现了两个XSS漏洞。这些漏洞出现在内部应用或加固措施存在缺口的调试端点中。Google将此作为安全设计框架有效性的证据；这并非PageBreak与其他扫描器的直接比较。

Google计划让PageBreak与CodeMender等自动修复项目更紧密地协同工作。该公司的目标是让产品团队减少调查报告的时间，把更多精力用于审查拟议的修复方案。Google尚未说明这项整合何时完成。