Google coloca IA própria para caçar e confirmar falhas em seus aplicativos

Mais de 500 vulnerabilidades do tipo XSS foram encontradas nos aplicativos web do Google por uma ferramenta criada pela própria empresa. Batizada de PageBreak, ela é um agente autônomo de inteligência artificial desenvolvido pela equipe de Segurança de Produto do Google para localizar falhas exploráveis nos serviços da companhia, segundo reportagem do Decrypt assinada por Jose Antonio Lanz e publicada em 25 de setembro de 2026.

O sistema é baseado nos modelos Gemini. Começou como projeto piloto em novembro de 2025 e entrou em operação plena em janeiro de 2026.

A ferramenta surgiu para enfrentar um problema que vem incomodando equipes de segurança no mundo todo: o chamado AI slop, termo usado para descrever conteúdo de baixa qualidade gerado por IA. No caso da segurança digital, são relatórios de bugs que parecem convincentes, mas descrevem falhas que não existem. Segundo o Google, separar uma vulnerabilidade real e explorável de uma alucinação bem escrita se tornou um grande desafio.

A solução encontrada foi incluir uma etapa de verificação. Quando o PageBreak identifica uma possível falha, ele repassa a hipótese a um validador especializado. Esse validador tenta explorar a vulnerabilidade numa instância real e em funcionamento do aplicativo. Só depois de confirmada a falha o relatório chega aos engenheiros humanos. Com isso, o Google afirma ter praticamente zerado os falsos positivos, o que poupa tempo das equipes que antes precisavam analisar alertas inúteis.

As falhas do tipo XSS, sigla em inglês para cross-site scripting, permitem que um atacante injete códigos maliciosos em páginas acessadas por outros usuários. Esse tipo de brecha pode ser usado, por exemplo, para roubar sessões de login ou dados pessoais, o que explica a atenção dada ao tema por empresas que lidam com milhões de contas, como bancos, corretoras e plataformas de criptoativos.

Um dos resultados mais interessantes veio da comparação entre diferentes tipos de aplicação. Quando o PageBreak foi colocado para analisar sistemas construídos com os novos frameworks web de alta garantia do Google, estruturas projetadas para impedir classes inteiras de vulnerabilidades desde a origem, encontrou apenas duas falhas. O contraste com as mais de 500 encontradas no restante dos aplicativos reforça, segundo a reportagem, que uma arquitetura segura desde o início é mais eficaz do que corrigir problemas um a um depois que eles aparecem.

O próximo passo é integrar o PageBreak ao CodeMender, outro agente do Google, este voltado a escrever correções automaticamente. A ideia é que cada vulnerabilidade confirmada já chegue aos engenheiros acompanhada de uma proposta de ajuste no código, pronta para revisão humana. Assim, o ciclo entre descobrir e corrigir uma falha tende a ficar mais curto.

O projeto mostra uma tendência crescente no setor de tecnologia: usar inteligência artificial não apenas para produzir código, mas também para auditá-lo. Ao mesmo tempo, a experiência do Google indica que a IA sozinha não basta. O diferencial do PageBreak está justamente em testar cada suspeita antes de acionar pessoas, evitando que o excesso de alertas falsos sobrecarregue quem trabalha na defesa dos sistemas.