La IA de Google localiza más de 500 brechas críticas de seguridad
El gigante tecnológico Google ha revelado nuevos detalles de PageBreak, un agente interno de inteligencia artificial desarrollado por su equipo, con el objetivo de buscar vulnerabilidades de manera automática en sus aplicaciones web. Este sistema ya ha descubierto más de 500 fallos Cross Site Scripting (XSS) en servicios propios, incluidos dominios sensibles.
Generado como piloto en el mes de noviembre del 2025 y operativo desde enero de este año, admite distintos modelos, aunque apoya casi toda su actividad en Gemini 3.1 Pro y Gemini 3.5 Flash. Su gran ventaja frente a un escáner tradicional basado en IA es que no se limita a revisar código y señalar posibles errores, sino que intenta explotarlos de forma automática para demostrar que el peligro es real.
El gran lastre de utilizar grandes modelos de lenguaje en ciberseguridad son los falsos positivos en masa. Un modelo puede detectar un patrón aparentemente vulnerable y redactar un informe convincente acerca de un fallo que, en la práctica, resulta inexplotable.
En la organización llaman a este fenómeno “AI slop”, una hipótesis automática que multiplican el trabajo de los equipos de seguridad informática en vez de reducirlo, por lo que PageBreak resuelve este cuello de botella por medio de validación determinista.
Cuando se identifica una posible brecha, no alerta de inmediato a los responsables de la aplicación, envía la hipótesis a un validador especializo que despliega un payload real contra un entorno en funcionamiento. Con este concepto empírico, Google ha reducido los falsos positivos a casi cero.
Si el agente detecta un psobile XSS, inyecta una carga de JavaScript y abre la dirección en una infraestructura de renderizado para ver si el código llega a ejecutarse. Ante una inyección SQL, manipula las consultas a la base de datos y mide tanto las respuestas como los tiempos de respuesta; si se busca un Path Traversal, implementa un archivo en una ruta accesible e intenta leerlo desde la aplicación.
TIC Defense es una empresa que se encarga de proteger a otras organizaciones de ataques perpetrados por hackers maliciosos. Por medio de un conjunto de herramientas y servicios de última tecnología, se ejecutan programas de respuesta rápida sin olvidar el enfoque preventivo, aumentando de esta manera las defensas informática de las compañías.
El listón sube aún más frente a una ejecución remota de código; allí, el sistema intenta forzar una pausa con sleep, escribir un archivo donde tenga permisos para luego verificar su existencia o disparar conexiones DNS y HTTP hacia afuera. Ante brechas SSRF, comprueba si puede obligar al backend a conectarse con servicios internos. No basta con que Gemini señale una amenaza, debe entregar un ataque reproducible.
El despliegue masivo de PageBreak deja una lección contundente sobre arquitectura de software. Frente a estos 500 fallos XSS hallados en su catálogo web general, hasta septiembre de 2026 el agente apenas encontró dos entre cientos de apps desarrolladas sobre los high-assurance web frameworks de Google, diseñados de raíz para erradicar clases enteras de errores.
Del mismo modo, ambos casos estaban confinados en herramientas internas o puntos de depuración sin blindaje suficiente, demostrando que asegurar el diseño desde el principio rinde mucho más que salir a cazar vulnerabilidades una vez en producción.
