PageBreak nutzt Gemini-Modelle, um mögliche Sicherheitslücken selbstständig zu untersuchen. Dabei erzeugt das System zunächst Hypothesen zu Schwachstellen. Ein Fund gilt jedoch erst dann als bestätigt, wenn ein separater Validator den Angriff in einer laufenden Anwendung erfolgreich nachstellt. Bei einer XSS-Lücke kann das etwa die Ausführung von JavaScript sein. Für Path Traversal kann der Test einen Schreibzugriff auf einen weltweit lesbaren Speicherort prüfen; bei RCE kann ein ausgehender DNS-Aufruf als Nachweis dienen.
Die Validatoren bestehen aus regulärem Code, den Sicherheitsingenieure geschrieben haben, und laufen außerhalb des Agentenprozesses. Google begründet diesen Aufbau mit dem Ziel, unbelegte Fehlalarme zu vermeiden. Das Unternehmen gibt an, dass der Ansatz zu einer nahezu nullprozentigen Falsch-Positiv-Rate führe. Nicht bestätigte Kandidaten bleiben intern: Sie können laut Google weitere Scans anstoßen, Lücken in den Prüfverfahren sichtbar machen und bei der Entwicklung zusätzlicher Validatoren helfen.
Google weist zugleich auf eine Grenze des Verfahrens hin. Die vorhandenen Validatoren decken demnach nicht alle Arten von Schwachstellen und komplexen Fällen ab. Dadurch könnten echte Probleme unentdeckt bleiben, die ein nicht deterministisches Prüfverfahren möglicherweise erkannt hätte. Drei von PageBreak gefundene Fälle beschreibt Google gesondert: eine XSS-Lücke, ein Cache-Poisoning durch eine Fehlkonfiguration eines Dienstes und eine Path-Traversal-Schwachstelle.
PageBreak kann nach Googles Darstellung auf interne technische Infrastruktur zurückgreifen. Dazu zählen ein gemeinsames Code-Repository mit Einblick in den durchgängigen Code, Sicherheitsdaten, die Live-HTTP-Verkehr mit Quellcode verknüpfen, sowie bestehende Scan-Systeme mit authentifiziertem Zugriff auf Google-Webanwendungen. Google verbindet das Projekt außerdem mit weiteren Sicherheitsagenten, darunter CodeMender. Langfristig soll die Beteiligung von Produktteams auf die Prüfung KI-generierter Korrekturen sinken; PageBreak soll zunächst Schwachstellen finden und die Integration in automatisierte Reparaturprozesse unterstützen.