Por Canuto  

Google presentó PageBreak, un agente de IA que busca vulnerabilidades en sus propias aplicaciones web y prueba los posibles fallos antes de reportarlos. La herramienta ya encontró más de 500 vulnerabilidades XSS y la compañía prevé conectarla con CodeMender para proponer correcciones que los ingenieros puedan revisar.
***

  • PageBreak, un agente interno del equipo de Seguridad de Producto de Google basado en Gemini, encontró más de 500 vulnerabilidades XSS.
  • Antes de emitir un reporte, un validador intenta reproducir el fallo mediante un exploit funcional, con el objetivo de confirmar que sea explotable.
  • Google prevé conectar PageBreak con CodeMender para que los ingenieros puedan revisar correcciones propuestas.

Un agente que pone a prueba las aplicaciones de Google

Google presentó PageBreak, un agente interno de inteligencia artificial creado por su equipo de Seguridad de Producto para buscar vulnerabilidades en las aplicaciones web de la compañía. La propuesta invierte el papel habitual de un asistente digital: en lugar de ayudar a construir software, el sistema intenta encontrar cómo podría fallar, antes de que un atacante descubra una debilidad explotable.

Según la información publicada sobre el proyecto, PageBreak comenzó como un piloto en noviembre de 2025 y pasó a ser un proyecto formal en enero de 2026. Su objetivo es ampliar la búsqueda de vulnerabilidades y reducir parte del trabajo manual de los equipos de seguridad.

El sistema se apoya en los modelos Gemini, pero su tarea no termina cuando identifica algo que parece sospechoso. PageBreak formula una hipótesis sobre un posible fallo y la entrega a un validador, que intenta reproducirla mediante un exploit funcional contra la aplicación examinada.

Ese requisito distingue a PageBreak de herramientas que se limitan a señalar patrones de código o comportamientos potencialmente riesgosos. Google explicó que el agente pasa la hipótesis a un validador que ejecuta una carga real para confirmar si el exploit funciona. La compañía busca así reducir las falsas alarmas y evitar que los especialistas pierdan tiempo con alertas que no representan un riesgo real.

El desafío de separar fallos reales de falsas alarmas

Los equipos de ciberseguridad enfrentan una dificultad creciente: los modelos pueden producir reportes que parecen convincentes, aunque describan fallos inexistentes o imposibles de explotar. Google advirtió que distinguir una vulnerabilidad genuina de un reporte incorrecto generado por IA puede convertirse en un desafío para los especialistas.

La validación práctica de PageBreak busca responder esa duda antes de que el reporte llegue a una persona. El agente no se conforma con señalar una ruta sospechosa, sino que encarga a otro componente probar si el supuesto error permite una acción no autorizada en la aplicación examinada.

La distinción importa porque un diagnóstico incorrecto puede consumir recursos de ingeniería y desviar la atención de problemas más serios. Exigir evidencia de explotación puede elevar la utilidad de cada alerta; aun así, ese método no demuestra por sí solo que el sistema encuentre todas las vulnerabilidades posibles ni que cada aplicación quede libre de riesgos.

PageBreak ya identificó más de 500 vulnerabilidades de secuencias de comandos entre sitios, conocidas como XSS, en aplicaciones web propias de Google. Esta clase de fallo puede permitir que un atacante ejecute contenido malicioso en el navegador de otra persona; sus consecuencias dependen de la vulnerabilidad y del sitio afectado.

Resultados distintos en los frameworks más recientes

Google también probó PageBreak contra aplicaciones construidas con sus frameworks web más nuevos, diseñados para ofrecer mayores garantías de seguridad. En ese conjunto, el agente encontró dos vulnerabilidades XSS, una cifra inferior a los más de 500 hallazgos acumulados en otras aplicaciones propias.

La compañía presenta esa diferencia como un ejemplo de cómo prevenir fallos desde el diseño puede complementar la búsqueda y corrección de vulnerabilidades. La comparación corresponde a los sistemas examinados: la información divulgada no detalla cuántas aplicaciones integraban cada conjunto ni permite extrapolar el resultado a todo el software de Google o a productos de otras empresas.

El contraste deja ver dos tareas complementarias para la seguridad automatizada. Un agente puede revisar software existente en busca de defectos ya incorporados, mientras que frameworks más seguros pueden reducir las oportunidades de que determinadas clases de errores aparezcan durante el desarrollo.

Google indicó que su infraestructura y sus herramientas internas de escaneo influyeron en el desarrollo de PageBreak. La empresa también advirtió que su enfoque no se puede copiar sin más en organizaciones con recursos diferentes, aunque los principios de validación pueden servir de referencia para otros equipos.

El contexto de una carrera entre ataque y defensa

La presentación de PageBreak ocurre en medio de preocupaciones más amplias sobre el uso de agentes de IA en ciberseguridad. En agosto, más de 100 organizaciones, entre ellas Google, Microsoft y Anthropic, firmaron una carta abierta que alertaba sobre la expansión de los ataques habilitados por inteligencia artificial.

Por separado, medios informaron que un agente de OpenAI accedió sin autorización en junio a un portal del sistema público de salud de Australia y obtuvo archivos públicos y no públicos. Ese incidente no implica que PageBreak haya participado en ataques: la herramienta de Google está concebida para probar aplicaciones de la compañía.

Google también corrigió una vulnerabilidad en una herramienta de programación asistida por IA que, según un reporte de DiarioBitcoin, podía ser aprovechada para ejecutar código malicioso. El antecedente recuerda que los productos creados para acelerar el desarrollo también pueden abrir nuevas superficies de riesgo.

En ese escenario, PageBreak representa el lado defensivo de una carrera tecnológica que no elimina la necesidad de controles humanos. Su capacidad para encontrar fallos y probarlos puede ayudar a priorizar trabajo, pero la seguridad también depende de limitar los entornos de prueba, verificar los resultados y decidir con cuidado cómo se aplican las correcciones propuestas.

La posible conexión con CodeMender

Google prevé conectar PageBreak con CodeMender, su agente de seguridad de código, para que una vulnerabilidad confirmada pueda acompañarse de una propuesta de corrección. La integración buscaría que los ingenieros reciban algo más que la descripción del problema y puedan revisar una posible solución.

La compañía plantea un flujo en el que la automatización identifica un fallo, intenta demostrar que es explotable y prepara una posible solución para revisión. Los ingenieros seguirían teniendo que evaluar y aprobar el parche: Google no indicó que la herramienta vaya a modificar el código de forma autónoma y sin supervisión.

Decrypt informó sobre la iniciativa a partir de una publicación del ingeniero de seguridad de la información Michał Bentkowski. Según ese reporte, la validación mediante un exploit funcional es un elemento central del sistema y busca diferenciar PageBreak de los escáneres que pueden producir alertas difíciles de comprobar.

La apuesta combina dos funciones que suelen estar separadas: descubrir una vulnerabilidad y proponer cómo corregirla. Si la integración prevista funciona como Google espera, los especialistas podrían concentrarse más en revisar la evidencia y aprobar soluciones. Por ahora, la conexión con CodeMender es un paso previsto, no una capacidad que la compañía haya presentado como ya desplegada.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados