GoogleのProduct Securityは9月24日、自社Webアプリケーションを検査する社内AIエージェント「PageBreak」の仕組みを公式ブログで公開した。2025年11月に試験を始め、2026年1月に本格化した。主にGemini 3.1 ProやGemini 3.5 Flashを使う。LLMを静的解析代わりにすると未検証の仮説、いわゆるAIスロップが増え、セキュリティと製品の双方の負担が膨らむ、という問題が背景にある。
PageBreakは仮説を出したあと、非AI製のバリデータに渡し、稼働環境で実ペイロードを実行してから報告する。XSSならJavaScriptを注入して実行を監視し、SQLインジェクション、パストラバーサル、リモートコード実行、SSRFにもクラス別の確認がある。未検証の候補は製品チームへ送らず、次のスキャンの種やバリデータ開発の材料にする。この方針で誤検知はほぼゼロとし、機微ドメインを含む自社アプリからXSSを500件超見つけた。
一方、2025年に示した高保証Webフレームワーク上のアプリでは、2026年9月4日時点でXSSは2件にとどまり、内部アプリかデバッグ用エンドポイントの硬化漏れに限られた。報告が増えても修正負荷は残るため、自動修正のCodeMenderとの連携を深め、最終的には提案パッチの確認に寄せる方針だ。AIスキャナを入れるなら件数より再現手順付きの検証を先に設計し、入力サニタイズよりフレームワーク側で危険なsinkを潰す方が効く。