- 구글의 AI 에이전트인 페이지브레이크(PageBreak)는 구글 자체 웹 앱에서 500개 이상의 크로스 사이트 스크립팅(XSS) 취약점을 확인했습니다.
- PageBreak는 9월 4일 기준으로 Google의 고보안 프레임워크로 구축된 앱에서 XSS 버그를 단 두 건만 발견했습니다.
- PageBreak는 실제 앱에 대해 유효한 익스플로잇이 실행된 후에만 버그를 보고합니다.
구글 자체 AI 에이전트인 페이지브레이크(PageBreak)는 구글이 자체 개발한 웹 앱에서 500개 이상의 크로스 사이트 스크립팅(XSS) 취약점을 검증했습니다. 그중에서도 구글의 고신뢰 웹 프레임워크로 구축된 수백 개의 앱에서는 단 두 개의 취약점만 발견되었습니다.
구글은 PageBreak가 실제 대상 시스템에 대해 유효한 익스플로잇이 실행된 후에만 버그를 표시한다고 밝혔습니다.
디버그 엔드포인트에는 두 가지 결함이 모두 집계되었습니다
두 건의 강화된 스택 버그는 2026년 9월 4일 기준으로 집계되었습니다. 두 버그 모두 완전히 강화되지 않은 내부 앱 또는 디버그 엔드포인트에서 발생했습니다.
구글은 자사 앱 전체에서 500건 이상의 취약점이 발견된 반면, 강화된 보안 스택에서는 단 2건만 발견되었다는 점을 근거로, 설계 단계부터 안전하게 설계된 프레임워크가 끊임없는 자동화 공격에도 견딜 수 있다는 증거라고 주장합니다.
9월 24일, 구글 제품 보안팀은 정보 보안 엔지니어인 미하우 벤트코프스키의 블로그 게시글을 . 이 에이전트는 2025년 11월부터 시범 운영되었으며, 2026년 1월부터 정식 프로젝트로 전환되었습니다.
크로스 사이트 스크립팅(XSS)은 공격자가 다른 사용자가 로드하는 페이지에 스크립트를 삽입하는 공격입니다. 앱에 따라 스크립트는 데이터를 읽거나 피해자의 로그인 세션을 탈취할 수 있습니다.
Gemini 3.1 Pro가 스캔을 수행하고, 검증자가 익스플로잇을 실행해야 합니다
대부분의 스캔은 Gemini 3.1 Pro와 Gemini 3.5 Flash에서 이루어지지만, PageBreak는 다른 모델도 사용할 수 있습니다. 두 번째 단계가 일반 LLM 스캐너와 PageBreak를 구분 짓는 핵심입니다.
에이전트는 의심되는 각 결함을 특수 제작된 검증기로 전달합니다. 그러면 검증기는 실행 중인 앱 인스턴스에 대해 실제 페이로드를 실행합니다.
XSS 공격의 경우, 검증 도구는 자바스크립트 페이로드를 삽입하고 페이지를 로드한 후 스크립트가 실행되는지 여부를 확인합니다.
구글은 PageBreak를 보안 팀을 짓누르는 "AI 관련 오류"를 해결할 수 있는 도구로 홍보하고 있습니다. 벤트코스키의 글은 LLM(Latency Logistics Model)이 검증되지 않은 가설로 팀을 압도하는 정적 코드 분석 도구이며, 진짜 악용 가능한 버그와 그럴듯한 가설을 구분하는 것이 어려운 부분이라고 지적합니다.
XSS 외에도, 검증 도구는 데이터베이스 쿼리 주입, 경로 탐색 누출 및 코드 실행을 검사합니다.
구글은 동일한 시드를 여러 번 반복해서 사용하기 때문에, 막다른 길로 들어선 에이전트라도 올바른 취약점을 발견할 기회를 계속해서 얻게 됩니다.
구글에 따르면 검증되지 않은 후보는 확정된 버그로 제품 팀에 전달되지 않습니다. 그리고 이러한 후보들은 보안 워크플로 내에서 후속 검사에 계속 사용되거나 차세대 검증 도구를 개발하는 엔지니어에게 정보를 제공하는 역할을 합니다.
구글은 PageBreak의 오탐률이 거의 0에 가깝다고 밝혔습니다.
이 에이전트의 영향력은 외부 연구원이 모방할 수 없는 구글 자체의 규모 덕분에 크게 확대됩니다. 하나의 코드 저장소를 통해 서비스 전반에 걸친 실행 경로를 trac할 수 있으며, 실시간 트래픽 보안 데이터를 통해 페이지 요청을 소스 코드로 연결할 수 있습니다.
기존 스캐너는 PageBreak 로그인 정보를 제공하여 접근하기 어려운 내부 사이트에 접속할 수 있도록 합니다.
구글은 팀에서 확인된 버그 옆에서 제안된 패치를 검토할 수 있도록 PageBreak를 버그 수정 에이전트인 CodeMender와 더욱 긴밀하게 통합할 계획입니다.
구글은 지난 5월 자사의 위협 인텔리전스 그룹이 인공지능의 도움을 받아 제작된 최초의 제로데이 취약점을 .
Bitcoin 레드팀이 8월에 501개의 오픈 소스 프로젝트를 대상으로 108시간 동안 조사한 결과 7,958건의 취약점이 발견되었지만, 당시 재현 가능한 증거가 있는 것은 24.7%에 불과했습니다.
Cryptopolitan 보도에 따르면, 자율 에이전트는 이미 원래 의도하지 않았던 경계를 넘어서고 있으며, 제미니(Gemini)는 5월 테스트 기간 동안 세 곳의 실제 기업에 접근했습니다.
암호화폐 분야의 최고 전문가들이 이미 저희 뉴스레터를 구독하고 있습니다. 함께하고 싶으신가요? 지금 바로 참여하세요.
자주 묻는 질문
PageBreak는 무엇이며, 어떤 것을 발견했습니까?
PageBreak는 Google 제품 보안 팀에서 개발한 내부 AI 에이전트입니다. 이 에이전트는 Google 웹 앱에서 500개 이상의 XSS 취약점을 발견했습니다.
PageBreak는 어떻게 오탐을 방지하나요?
PageBreak에서 오류를 보고하기 전에 검증 도구가 실제 앱의 실행 중인 복사본에 대해 실제 취약점을 실행합니다.
구글의 보안 강화 앱에 버그가 단 두 개밖에 없었던 이유는 무엇일까요?
이들은 구글의 높은 수준의 안전성을 보장하는 웹 프레임워크를 기반으로 작동하며, 이 프레임워크 덕분에 PageBreak는 두 건의 XSS 버그만 발견되었습니다.
면책 조항: 제공된 정보는 투자 조언이 아닙니다. Cryptopolitan이 페이지에 제공된 정보를 바탕으로 이루어진 투자에 대해 어떠한 책임도 지지 않습니다.tron권장합니다dent .
란다 모세스
란다 모세스는 Cryptopolitan 의 편집자 겸 기자로, 기술, 인공지능, 로봇공학, 암호화폐, 사기 및 해킹 관련 기사를 쓰고 있습니다. 2017년부터 암호화폐 업계에서 활동해 온 그녀는 포워드 프로토콜, 아마직스, 크립토솜니악에서 근무한 경력이 있습니다. 란다는 브래드퍼드 대학교에서 전기tron공학 학위를 받았습니다.
