KI-Agent PageBreak findet über 500 Web-Bugs bei Google, nur 2 in gehärteten Apps

Googles eigener KI-Agent PageBreak hat über 500 Cross-Site-Scripting-Schwachstellen in Googles hauseigenen Web-Apps bestätigt. In Hunderten von Apps, die auf den hochsicheren Web-Frameworks des Unternehmens aufgebaut sind, wurden nur zwei gefunden.

Google sagte, PageBreak markiere einen Bug erst, nachdem ein funktionierender Exploit gegen eine Live-Kopie des Ziels ausgeführt wurde.

Debug-Endpunkte enthielten beide gezählten Fehler

Beide Schwachstellen in den gehärteten Stacks wurden zum 4. September 2026 gezählt. Beide befanden sich in internen Apps oder Debug-Endpunkten, die nicht vollständig gehärtet waren.

Google führt diese Lücke, mehr als 500 Funde in seinem breiteren Set an First-Party-Apps im Vergleich zu zwei im gehärteten Stack, als Beweis dafür an, dass „Safe-by-Design“-Frameworks einem unermüdlichen automatisierten Angreiler standhalten können.

Am 24. September kündigte das Product Security Team von Google PageBreak in einem Blog beitrag des Informationssicherheitsingenieurs Michał Bentkowski an. Der Agent lief ab November 2025 als Pilotprojekt und wurde im Januar 2026 zu einem vollständigen Projekt.

Cross-Site-Scripting (XSS) liegt vor, wenn ein Angreifer ein Skript in eine Seite einfügt, die ein anderer Benutzer lädt. Je nach App könnte das Skript Daten lesen oder die angemeldete Sitzung eines Opfers übernehmen.

Gemini 3.1 Pro-Scans, und ein Validator muss den Exploit auslösen

Die meisten Scans werden mit Gemini 3.1 Pro und Gemini 3.5 Flash durchgeführt, aber PageBreak kann auch andere Modelle nutzen. Der zweite Schritt ist es, der ihn von einem normalen LLM-Scanner unterscheidet.

Jeder verdächtige Fehler wird vom Agenten an einen speziell dafür entwickelten Validator übergeben. Der Validator führt dann die eigentliche Payload gegen eine laufende Instanz der App aus.

Im Fall von XSS injiziert der Validator eine JavaScript-Payload, lädt die Seite und stellt fest, ob das Skript ausgeführt wird.

Google wirbt mit PageBreak als Heilmittel gegen den „AI-Slop“, der Sicherheitsteams ertränkt. Bentkowskis Beitrag spricht von LLMs als statischen Code-Analysatoren, die Teams mit nicht verifizierten Hypothesen überfluten, wobei der schwierige Teil darin bestand, einen echten, ausnutzbaren Bug aus einer plausiblen Halluzination herauszufiltern.

Neben XSS testen die Validator auch auf Database-Query-Injection, Path-Traversal-Lecks und Code-Ausführung.

Google führt denselben Seed über mehrere Iterationen aus, sodass ein Agent, der in eine Sackgasse läuft, weiterhin wiederholte Chancen auf den richtigen Exploit hat.

Google sagt, dass nicht verifizierte Kandidaten niemals als bestätigte Bugs zu den Produktteams gelangen. Sie fließen weiterhin in spätere Scans ein oder weisen Ingenieure an, die den nächsten Validator innerhalb des Sicherheitsworkflows erstellen.

Google gibt an, dass die False-Positive-Rate von PageBreak nahe bei null liegt.

Die Reichweite des Agents wird durch Googles eigene Skalierung verstärkt, die ein externer Forscher nicht replizieren kann. Ein Code-Repository ermöglicht es ihm, Ausführungspfade über Dienste hinweg zu verfolgen, und Sicherheitsdaten aus dem Live-Traffic ordnen eine Seitenanfrage dem Quellcode zu.

Bestehende Scanner ermöglichen PageBreak den angemeldeten Zugriff auf interne Sites, die sonst schwer erreichbar sind.

Google plant, PageBreak enger mit CodeMender, einem Agenten zum Schreiben von Patches, zu integrieren, damit Teams einen vorgeschlagenen Patch neben einem bestätigten Bug überprüfen können.

Google erwähnte CodeMender im Mai, als seine Threat Intelligence Group bekannt gab, dass sie den ersten Zero-Day-Exploit, der mit KI-Unterstützung erstellt wurde, entdeckt hatte.

Der August-Sweep des Bitcoin Red Teams über 501 Open-Source-Projekte generierte 7.958 Funde über 108 Stunden, aber nur 24,7 % verfügten damals über reproduzierbare Beweise.

Autonome Agenten überschreiten bereits Grenzen, die sie nicht hätten überschreiten sollen, wie Cryptopolitan berichtete, als Gemini während der Tests im Mai drei reale Unternehmen erreichte.