谷歌AI智能体PageBreak在自家网页应用中找出500多个XSS漏洞

谷歌公布了PageBreak的细节，这是一个在公司自有网页应用中搜寻安全漏洞的内部AI智能体。谷歌安全工程师米哈乌·本特科夫斯基（Michał Bentkowski）在公司博客上写道，经过大规模运行，它已在谷歌第一方网页应用中发现500多个跨站脚本（XSS）漏洞，其中一些位于敏感域名上；台湾媒体iThome也报道了同样的数字。

跨站脚本是一类漏洞：攻击者设法把JavaScript代码注入其他用户浏览的网页中，从而可能以受害者的会话身份行事。这是网页应用中最常见的漏洞之一。

PageBreak要解决的问题：AI噪音

谷歌解释说，用大语言模型扫描代码改变了漏洞管理，但也带来了噪音。许多安全团队不堪重负，因为他们收到的候选报告中有相当一部分是未经验证的假设，或是模型充当静态代码分析工具时产生的误报，谷歌称之为“AI垃圾”（AI slop）。区分真实可利用的漏洞和看似可信的幻觉已成为一大难题，往往反而加重了产品团队的负担。

据谷歌介绍，PageBreak于2025年11月作为试点启动，2026年1月成为正式项目。它可以配合不同模型工作，但大部分使用基于Gemini模型，比如Gemini 3.1 Pro和Gemini 3.5 Flash。

验证工具如何运作

关键的设计选择是确定性验证。当智能体发现潜在漏洞时，会把假设交给一个不由AI编写的专用验证工具，由它针对正在运行的环境执行真实攻击载荷，以确认漏洞能否被利用。未经验证的候选结果绝不会发送给产品团队。谷歌称，这使误报率接近于零，iThome也强调了这一点。

• XSS：注入一段JavaScript载荷，在渲染环境中加载URL，检查注入的代码是否真的执行。
• SQL注入：通过观察输出或响应时间，检查数据库查询能否被操纵。
• 路径遍历：在所有人可读的位置创建文件，检查应用程序能否读取它。
• 远程代码执行：尝试引入延迟、写入文件或触发对外DNS/HTTP请求等方法。
• 服务器端请求伪造：检测应用程序是否向内部服务发出请求。

谷歌承认，其验证工具目前还不能覆盖所有漏洞类型和复杂场景，因此存在漏报风险。未经验证的发现会保留在内部：它们作为后续扫描中深入检查的起点，指出需要开发新验证工具的地方，智能体还会报告自己缺少哪些能力或访问权限而无法确认某个发现。

人工此前未能发现的漏洞

据iThome报道，谷歌还介绍了PageBreak发现的三个高危案例，相关应用此前都曾由谷歌安全工程师和外部漏洞研究人员检查过，却没有发现这些漏洞。其中一个案例中，智能体在admin.google.com上发现一个XSS漏洞，但利用它需要请求带有有效签名；随后它找到另一个端点，能让该应用为带有恶意内容的参数生成有效签名，从而构造出绕过签名保护的漏洞利用URL。谷歌认为，这类案例表明大语言模型越来越能够发现需要多个步骤才能利用的漏洞。

谷歌在其Bug Hunters博客上发布了配套文章，介绍这些漏洞利用的技术细节。据谷歌介绍，其中包括一个由服务配置错误引起的复杂缓存投毒漏洞，以及一个智能体完全独立绕过加密保护的案例。这些例子之所以重要，是因为它们超出了传统扫描器已经能够发现的简单注入模式。

谷歌表示，该智能体还受益于谷歌特有的优势：一个包含数十亿行代码的单一代码库；能把真实HTTP流量对应到具体源代码行的安全信号；以及一个几乎能登录谷歌所有网页应用的现有扫描器。为提高成功率，谷歌会用相同的随机种子让智能体进行多轮迭代。

“设计即安全”框架带来的变化

最引人注目的结果涉及基于谷歌高保障网页框架构建的应用，这些框架旨在默认消除可被利用的网页漏洞。谷歌写道，截至2026年9月4日，PageBreak在数百个基于这些框架构建的应用中只发现了2个XSS漏洞，而且都仅限于内部应用或加固不足的调试端点。即便经过验证，报告数量仍前所未有，因此PageBreak正与CodeMender等生成自动修复的其他智能体协作，目标是让产品团队最终只需审核提出的补丁。

对中国企业意味着什么

对于已开始收到AI生成漏洞报告的软件企业和内部安全团队，谷歌的做法提供了一条实用原则：在确定性测试复现漏洞利用之前，不要仅凭模型的怀疑采取行动。框架方面的结果同样有参考价值：抵御自动化攻击者成本最低的办法，是在能默认阻断整类漏洞的框架上构建网页应用，而不是事后逐个追查漏洞。这一“先验证、再上报”的思路，对使用任何大模型做代码审计的团队都适用。