Google, 500개 이상의 교차 사이트 스크립팅 버그 발견한 인공지능 보안 에이전트 공개
2026년 11월 3일 · 읽는 시간 2분
Google이 자사의 웹 애플리케이션에서 500개 이상의 교차 사이트 스크립팅 취약점을 발견한 인공지능 기반 보안 에이전트인 PageBreak를 공개했습니다.
이 시스템은 Gemini 모델을 사용하여 잠재적인 취약점을 자율적으로 조사합니다. PageBreak는 결정론적 검증기가 실행 중인 애플리케이션에 대해 공격을 성공적으로 재현한 후에만 보고서를 제출하며, 이를 통해 오탐률을 거의 제로에 가깝게 유지합니다.
모든 취약점 가설은 실제 공격을 통해 실행 환경에서 테스트됩니다. 여기에는 교차 사이트 스크립팅을 위한 자바스크립트 실행, 경로 탐색을 위한 전 세계 읽기 가능 위치에 쓰기, 원격 코드 실행을 위한 외부 DNS 트리거 등이 포함됩니다. Google의 정보 보안 엔지니어인 Michał Bentkowski는 코드 패턴에 기반해 버그를 가설화하는 대신 실행 환경에서 잠재적 결함을 확인하여 제품 팀이 검증되지 않은 보고서로 인해 과부하되는 것을 방지했다고 설명했습니다.
Google은 비결정론적 발견 사항을 내부적으로 보관하여 향후 더 심층적인 스캔의 기초로 삼고, 검증 기능의 격차를 식별하며, 새로운 검증기 개발을 안내하는 데 사용합니다. 이러한 미검증 후보들은 제품 팀에 전송되지 않습니다. 다만 Bentkowski는 현재 검증기들이 모든 취약점 유형이나 복잡한 시나리오를 다루기에는 능력이 부족하여, 비결정론적 검증기로는 잡을 수 있었을 결함을 놓칠 수 있는 미탐 위험이 있다고 언급했습니다.
Lukas Weichselbaum 선임 스태프 정보 보안 엔지니어는 인공지능이 생성한 많은 버그 보고서가 설득력 있게 들리지만 틀린 경우가 많아 팀들이 시간을 낭비한다고 강조했습니다. PageBreak의 검증기는 모델이 아닌 보안 엔지니어가 작성한 일반 코드로 구성되며 에이전트 루프 외부에서 작동합니다.
PageBreak는 Google의 모노레포를 통한 엔드 투 엔드 코드 가시성, 라이브 HTTP 트래픽을 소스 코드와 연결하는 보안 신호, 인증된 웹 애플리케이션 접근을 제공하는 기존 스캔 인프라의 혜택을 받습니다. Google은 제품 팀의 개입을 인공지능이 생성한 수정 사항을 검증하는 수준으로 줄이려는 장기적 목표를 가지고 있으며, 발견된 취약점에 대한 수정 사항을 자동으로 생성하기 위해 CodeMender와 같은 다른 에이전트 보안 이니셔티브와 PageBreak를 통합하고 있습니다.
보고된 500개 이상의 취약점에 대해 독립적인 검증은 제공되지 않았습니다.