AI-agent PageBreak van Google vond ruim 500 XSS-lekken in eigen webapps

Google heeft details gepubliceerd over PageBreak, een interne AI-agent die zoekt naar beveiligingslekken in de eigen webapplicaties van het bedrijf. Op grote schaal ingezet vond de agent meer dan 500 cross-site-scriptingkwetsbaarheden (XSS) in Googles eigen webapplicaties, sommige op gevoelige domeinen, schrijft Google-beveiligingsingenieur Michał Bentkowski op het bedrijfsblog; iThome meldt dezelfde cijfers.

Cross-site scripting is een soort kwetsbaarheid waarbij een aanvaller JavaScript-code weet te injecteren in een webpagina die een andere gebruiker bekijkt, waardoor de aanvaller in de sessie van het slachtoffer kan handelen. Het is een van de meest voorkomende lekken in webapplicaties.

Het probleem dat PageBreak wil oplossen: AI-ruis

Het gebruik van grote taalmodellen om code te scannen heeft het kwetsbaarheidsbeheer veranderd, maar ook ruis opgeleverd, legt Google uit. Veel beveiligingsteams raken overspoeld omdat een groot deel van de meldingen die ze krijgen onbevestigde hypotheses of valse positieven zijn van modellen die als statische codeanalysatoren werken, wat het bedrijf AI slop noemt. Een echt, misbruikbaar lek onderscheiden van een overtuigende hallucinatie is een grote uitdaging geworden die productteams vaak extra belast.

PageBreak begon in november 2025 als pilot en werd in januari 2026 een volwaardig project. Het kan met verschillende modellen werken, maar steunt volgens Google vooral op Gemini-modellen zoals Gemini 3.1 Pro en Gemini 3.5 Flash.

Zo werken de validators

De belangrijkste ontwerpkeuze is deterministische validatie. Vindt de agent een mogelijk lek, dan geeft hij de hypothese door aan een gespecialiseerde validator, geschreven zonder AI, die een echte payload uitvoert tegen een draaiende omgeving om het misbruik te bevestigen. Onbevestigde kandidaten gaan nooit naar productteams. Google zegt zo een percentage valse positieven van bijna nul te halen, iets wat ook iThome benadrukt.

• XSS: injecteert een JavaScript-payload, laadt de URL in een renderomgeving en controleert of de geïnjecteerde code echt draait.
• SQL-injectie: controleert aan de uitvoer of de responstijd of databasequery's te manipuleren zijn.
• Path traversal: maakt een bestand aan op een voor iedereen leesbare plek en controleert of de applicatie het kan lezen.
• Remote code execution: probeert technieken zoals een vertraging, het schrijven van een bestand of een uitgaande DNS- of HTTP-aanvraag.
• Server-side request forgery: detecteert of de applicatie een verzoek doet aan een interne dienst.

Google erkent dat de validators nog niet alle soorten kwetsbaarheden of complexe scenario's afdekken, waardoor lekken gemist kunnen worden. Onbevestigde bevindingen blijven daarom intern: ze dienen als startpunt voor diepere scans in latere rondes, laten zien waar nieuwe validators nodig zijn, en de agent meldt welke vaardigheden of toegang hem ontbraken om een bevinding te bevestigen.

Lekken die mensen over het hoofd hadden gezien

Google beschreef ook drie ernstige gevallen die PageBreak vond in applicaties die eerder door eigen beveiligingsingenieurs en externe bughunters waren onderzocht zonder dat deze lekken werden gevonden, meldt iThome. In een van die gevallen vond de agent een XSS op admin.google.com waarvoor het verzoek een geldige handtekening nodig had; daarna vond hij een ander eindpunt dat de applicatie liet ondertekenen voor een kwaadaardige parameter, waarmee een aanvals-URL kon worden gemaakt die de handtekeningbeveiliging omzeilde. Volgens Google tonen zulke gevallen dat taalmodellen steeds beter kwetsbaarheden vinden waarvoor meerdere stappen nodig zijn.

Google heeft de technische details van deze aanvallen gepubliceerd in een aanvullend artikel op zijn Bug Hunters-blog. Daarbij zit volgens het bedrijf een complex cache-poisoninglek, veroorzaakt door een verkeerd geconfigureerde dienst, en een geval waarin de agent geheel zelfstandig cryptografische beveiliging omzeilde. Die voorbeelden zijn belangrijk omdat ze verder gaan dan de eenvoudige injectiepatronen die klassieke scanners al vinden.

De agent profiteerde ook van voordelen die alleen Google heeft, zegt het bedrijf: één coderepository met miljarden regels, beveiligingssignalen die echt HTTP-verkeer aan regels broncode koppelen, en een bestaande scanner die op bijna elke webapplicatie van Google kan inloggen. Om de kansen te vergroten laat Google agents met identieke seeds over veel iteraties draaien.

Wat veilige frameworks veranderden

Het opvallendste resultaat betreft applicaties die zijn gebouwd op Googles zwaar beveiligde webframeworks, ontworpen om misbruikbare webkwetsbaarheden standaard uit te sluiten. Tot 4 september 2026 vond PageBreak in honderden van zulke applicaties slechts 2 XSS-lekken, beide beperkt tot interne applicaties of debug-eindpunten met tekortkomingen in de beveiliging, schrijft Google. Zelfs bevestigde meldingen komen in ongekende aantallen binnen, dus werkt PageBreak samen met andere agents zoals CodeMender, die automatisch reparaties voorstellen, met als doel dat productteams straks alleen nog voorgestelde patches controleren.

Wat dit betekent voor Nederlandse bedrijven

Voor softwarebedrijven en interne beveiligingsteams die inmiddels AI-gegenereerde kwetsbaarheidsmeldingen ontvangen, biedt Googles aanpak een praktische regel: onderneem niets op basis van het vermoeden van een model zolang een deterministische test het misbruik niet heeft gereproduceerd. Het frameworkresultaat is net zo nuttig: de goedkoopste manier om geautomatiseerde aanvallers te weerstaan, is webapplicaties bouwen op frameworks die hele categorieën lekken standaard blokkeren, in plaats van achteraf bugs één voor één op te sporen.