# Google称PageBreak已发现500多个XSS漏洞

> Google称，其内部安全智能体会先用真实攻击验证疑似漏洞，再提交报告。该公司表示，这一工具已在自家Web应用中发现500多个跨站脚本漏洞。

Oossa · 2026-10-31 · https://oossa.com/zh/google-says-pagebreak-found-more-than-500-xss-bugs

Google称，其内部AI安全智能体PageBreak自2026年1月全面投入运行以来，已在公司Web应用中发现500多个跨站脚本漏洞。跨站脚本（XSS）漏洞会让攻击者在访问者的浏览器中运行未经授权的代码。

PageBreak使用Gemini模型调查潜在漏洞，但只有在另一个非AI验证器对正在运行的应用成功复现后，疑似漏洞才会报告给产品团队。Google称，这种做法能让误报率接近于零。InfoQ指出，这些发现尚未经过独立验证。

PageBreak专为Google自有的第一方Web应用打造，并非面向客户提供的工具。Google称，其使用大多依赖Gemini 3.1 Pro或Gemini 3.5 Flash，不过该系统也能使用其他模型。

## 它如何检查疑似漏洞？

PageBreak并不只依赖代码模式，而是将潜在漏洞交给安全工程师编写的专用验证器。对于XSS报告，验证器会注入JavaScript，并检查它是否真的能在浏览器中运行。其他测试可以尝试读取存放在所有用户均可读取位置的文件、操纵数据库查询，或触发外发网络请求，以测试远程代码执行漏洞。

Google不会把未经验证的可能漏洞发给产品团队，而是将其留在内部，用于指导后续扫描，并帮助工程师为现有检查无法确认的漏洞编写验证器。这种做法也有代价：Google承认，验证器无法覆盖所有漏洞或复杂场景，因此可能漏掉一些真实存在的漏洞。

## Google称发现了什么？

InfoQ报道，Google安全工程师Michał Bentkowski介绍了三个案例：一个XSS漏洞、一个由服务配置错误引发的缓存投毒漏洞，以及一个路径遍历漏洞。Google称，PageBreak可以在庞大的共享代码仓库中追踪代码，并利用实时Web流量中的安全信号，将网站路径与源代码关联起来。该系统还可以借助Google现有的扫描器访问许多需要身份验证的Web应用。

Google称，截至2026年9月4日，在数百个基于其高保障Web框架构建的应用中，只发现了两个XSS漏洞。这些漏洞出现在内部应用或加固措施存在缺口的调试端点中。Google将此作为安全设计框架有效性的证据；这并非PageBreak与其他扫描器的直接比较。

Google计划让PageBreak与CodeMender等自动修复项目更紧密地协同工作。该公司的目标是让产品团队减少调查报告的时间，把更多精力用于审查拟议的修复方案。Google尚未说明这项整合何时完成。

## 事实

- Google称，PageBreak在其第一方Web应用中发现了500多个XSS漏洞。
- Google称，该项目于2026年1月从试点阶段转入全面运行。
- 据Google介绍，PageBreak的大部分使用依赖Gemini 3.1 Pro或Gemini 3.5 Flash。
- Google称，截至2026年9月4日，其高保障框架构建的数百个应用中发现了两个XSS漏洞。

## 为什么重要

对Google的产品团队而言，要求先复现攻击再转交报告，可能减少核查误报所花的时间。该公司称PageBreak已发现500多个XSS漏洞，但这一数字尚未经过独立验证；Google也承认，其检查可能会漏掉一些漏洞。

## 来源与参考

1. [Google Discloses PageBreak AI Security Agent That Found 500+ XSS Bugs](https://www.infoq.com/news/2026/10/google-pagebreak-security-agent/?utm_campaign=infoq_content&utm_source=infoq&utm_medium=feed&utm_term=AI%2C+ML+%26+Data+Engineering) – InfoQ, 2026-10-31
2. [Google](https://blog.google/security/agentic-hacks-real-proofs-inside-googles-pagebreak-project/) – Google

最后更新: 2026-10-31