구글 AI 에이전트 ‘페이지브레이크’, 자사 웹앱에서 XSS 취약점 500개 넘게 찾아

구글이 자사 웹 애플리케이션에서 보안 결함을 찾는 내부 AI 에이전트 페이지브레이크(PageBreak)의 세부 내용을 공개했다. 구글 보안 엔지니어 미하우 벤트코프스키는 회사 블로그에서, 이 에이전트를 대규모로 돌린 결과 구글이 직접 운영하는 웹 애플리케이션에서 크로스사이트 스크립팅(XSS) 취약점을 500개 넘게 찾아냈으며 그중 일부는 민감한 도메인에 있었다고 밝혔다. 대만 매체 아이티홈(iThome)도 같은 수치를 전했다.

크로스사이트 스크립팅은 공격자가 다른 사용자가 보는 웹페이지에 자바스크립트 코드를 몰래 심을 수 있는 유형의 취약점이다. 이를 통해 공격자는 피해자의 세션으로 행동할 수 있다. 웹 애플리케이션에서 가장 흔한 결함 가운데 하나다.

페이지브레이크가 풀려는 문제: AI가 만든 잡음

구글은 거대언어모델로 코드를 검사하는 방식이 취약점 관리를 바꿔 놓았지만 동시에 잡음도 만들어 냈다고 설명한다. 많은 보안팀이 감당하지 못할 정도가 됐는데, 받는 후보 보고서의 상당 부분이 정적 코드 분석기처럼 쓰인 모델이 내놓은 검증되지 않은 가설이나 오탐이기 때문이다. 구글은 이를 ‘AI 슬롭(AI slop)’이라고 부른다. 실제로 악용할 수 있는 결함과 그럴듯한 환각을 구분하는 일이 큰 과제가 됐고, 오히려 제품팀의 부담을 키우는 경우도 많다.

구글에 따르면 페이지브레이크는 2025년 11월 시범 사업으로 시작해 2026년 1월 정식 프로젝트가 됐다. 여러 모델과 함께 쓸 수 있지만, 대부분은 제미나이 3.1 프로와 제미나이 3.5 플래시 같은 제미나이 모델을 기반으로 돌아간다.

검증 도구는 이렇게 작동한다

핵심 설계 원칙은 결정론적 검증이다. 에이전트가 잠재적 결함을 찾으면, 그 가설을 AI가 작성하지 않은 전용 검증 도구에 넘긴다. 검증 도구는 실행 중인 환경을 대상으로 실제 공격 코드를 돌려 악용이 가능한지 확인한다. 검증되지 않은 후보는 절대 제품팀에 전달되지 않는다. 구글은 이 방식으로 오탐률이 거의 0에 가깝다고 밝혔고, 아이티홈도 이 점을 강조했다.

• XSS: 자바스크립트 공격 코드를 넣고 렌더링 환경에서 URL을 불러와 삽입한 코드가 실제로 실행되는지 확인한다.
• SQL 인젝션: 출력이나 응답 시간을 보고 데이터베이스 질의를 조작할 수 있는지 확인한다.
• 경로 조작(path traversal): 누구나 읽을 수 있는 위치에 파일을 만든 뒤 애플리케이션이 이를 읽을 수 있는지 확인한다.
• 원격 코드 실행: 지연 유발, 파일 쓰기, 외부 DNS·HTTP 요청 발생 같은 방법을 시도한다.
• 서버 측 요청 위조: 애플리케이션이 내부 서비스로 요청을 보내는지 탐지한다.

구글은 검증 도구가 아직 모든 취약점 유형이나 복잡한 상황을 다루지 못해 놓치는 결함이 생길 위험이 있다고 인정했다. 그래서 검증되지 않은 발견은 내부에 남겨 둔다. 이런 발견은 다음 검사에서 더 깊이 살펴볼 출발점이 되고, 새 검증 도구가 필요한 곳을 알려 주며, 에이전트는 어떤 능력이나 접근 권한이 없어 발견을 확인하지 못했는지도 보고한다.

사람이 놓쳤던 결함

아이티홈에 따르면 구글은 페이지브레이크가 찾아낸 고위험 사례 세 건도 공개했다. 모두 앞서 구글 보안 엔지니어와 외부 취약점 연구자들이 살펴봤지만 찾지 못했던 애플리케이션에서 나왔다. 한 사례에서 에이전트는 admin.google.com에서 XSS를 찾았는데, 이를 악용하려면 요청에 유효한 서명이 있어야 했다. 에이전트는 이어서 악성 매개변수에 대해 애플리케이션이 유효한 서명을 만들어 주는 다른 엔드포인트를 찾아냈고, 이를 이용해 서명 보호를 우회하는 공격용 URL을 만들 수 있었다. 구글은 이런 사례가 언어모델이 여러 단계를 거쳐야 악용할 수 있는 취약점까지 점점 더 잘 찾아내고 있음을 보여준다고 설명했다.

구글은 이 공격들의 기술적 세부 사항을 버그 헌터스 블로그의 별도 글로 공개했다. 회사에 따르면 여기에는 서비스 설정 오류로 생긴 복잡한 캐시 오염 결함과, 에이전트가 완전히 혼자 힘으로 암호 보호 장치를 우회한 사례가 포함돼 있다. 이 사례들이 중요한 이유는 기존 스캐너가 이미 잡아내는 단순한 주입 패턴을 넘어서기 때문이다.

구글에 따르면 에이전트는 구글만의 이점도 활용했다. 수십억 줄의 코드를 담은 단일 코드 저장소, 실제 HTTP 트래픽을 소스 코드의 특정 줄과 연결해 주는 보안 신호, 그리고 구글의 거의 모든 웹 애플리케이션에 로그인할 수 있는 기존 스캐너다. 성공 가능성을 높이기 위해 구글은 같은 시드로 에이전트를 여러 번 반복 실행한다.

설계 단계부터 안전한 프레임워크의 효과

가장 눈에 띄는 결과는 악용 가능한 웹 취약점을 기본적으로 차단하도록 설계된 구글의 고보증 웹 프레임워크로 만든 애플리케이션에서 나왔다. 구글에 따르면 2026년 9월 4일 기준으로 페이지브레이크가 이 프레임워크로 만든 수백 개 애플리케이션에서 찾은 XSS 취약점은 단 2개였고, 그마저도 내부 애플리케이션이나 보안 강화가 덜 된 디버그용 엔드포인트에 국한됐다. 검증된 보고서만 추려도 그 양이 전례 없이 많아서, 페이지브레이크는 자동 수정안을 만드는 코드멘더(CodeMender) 같은 다른 에이전트와 협업하고 있다. 궁극적으로는 제품팀이 제안된 패치를 확인하기만 하면 되도록 하는 것이 목표다.

한국 기업에 주는 의미

AI가 만든 취약점 보고서를 받기 시작한 소프트웨어 기업과 사내 보안팀에게 구글의 방식은 실용적인 원칙을 제시한다. 결정론적 테스트로 공격이 재현되기 전에는 모델의 의심만으로 움직이지 말라는 것이다. 프레임워크 관련 결과도 똑같이 유용하다. 자동화된 공격자를 견디는 가장 저렴한 방법은 결함을 하나씩 뒤쫓는 것이 아니라, 결함 유형 전체를 기본적으로 막아 주는 프레임워크 위에 웹 애플리케이션을 짓는 것이다. 개발 인력이 부족한 중소기업일수록 이런 구조적 접근의 효과가 크다.