Googles KI-Patches beheben 1.072 Chrome-Bugs und decken eine 13 Jahre alte Sandbox-Schwachstelle auf
Foto von Zulfugar Karimov auf Unsplash.
- Google gab an, dass KI-Tools dabei halfen, 1.072 Sicherheitslücken in Chrome 149 und Chrome 150 zu beheben.
- Ein Gemini-Agent entdeckte eine Renderer-Sandbox-Umgehung, die seit mehr als 13 Jahren nicht gepatcht worden war.
- Google testet zwei Sicherheitsupdates pro Woche und entwickelt dynamisches Patching ohne Neustart.
Google gab am Donnerstag bekannt, dass seine KI-Tools halfen, 1.072 Sicherheitsbugs in den beiden Versionen von Chrome zu beheben, die es im Juni auslieferte. Das sind mehr als in den vorherigen 23 Releases des Browsers zusammen.
Eines dieser Tools fand auch eine Sandbox-Schwachstelle, die seit über 13 Jahren im Code verborgen war.
Googles KI fand einen Chrome-Sandbox-Bug, der seit 2013 verborgen war
Die Zahl von 1.072 umfasst Chrome 149 und Chrome 150, beide wurden letzten Monat veröffentlicht. Die 23 stabilen Releases, die Google in den letzten zwei Jahren ausgeliefert hat, enthielten insgesamt 1.036 Fixes.
Große Sprachmodelle haben „die Wirtschaftlichkeit der Cybersicherheit grundlegend verändert und die Schwachstellenentdeckung in eine automatisierte, industriell skalierte Operation verwandelt“, sagte Doug Turner, Director of Engineering bei Chrome. Modelle wie Gemini ermöglichen es dem Team, Schwachstellen „proaktiv“ zu beheben und den Angreifern zuvorzukommen, sagte er.
Das Unternehmen sagte, dass „eine Zunahme von gefundenen und behobenen Bugs kein Zeichen für ein Versagen ist.“
Anfang 2026 baute Google eine Gemini-Agent-Harness, um den größeren Chrome-Codebase zu durchsuchen. Dieses System fand eine Sandbox-Escape-Schwachstelle, die seit über 13 Jahren im Code war. Der Fehler könnte, wenn er nicht gepatcht wird, einem kompromittierten Renderer-Prozess erlauben, den Browser dazu zu bringen, lokale Dateien zu lesen, sagte Google.
Google betreibt seit Jahren LLMs gegen seine eigene Sicherheitsarbeit, beginnend mit Fuzzing-Abdeckung im Jahr 2023 und dann mit dem Naptime-Tooling mit Project Zero im Jahr 2024. DeepMind und Project Zero kamen mit der Big-Sleep-Entdeckung Agent, die 2025 Bugs in der V8-JavaScript-Engine und dem Grafik-Stack entdeckte.
Die 2026er Harness fügte interoperable Open-Weight- und proprietäre Modelle hinzu, eine Wissensdatenbank, die aus der Git-Historie von Chrome und früheren CVEs aufgebaut wurde, sowie einen „Critic“-Agenten, der von Entwicklern geschriebene SECURITY.md-Dateien scannt, um zu lernen, wo Vertrauensgrenzen liegen.
Maschinen triagieren und patchen nun Chrome-Bugs
Google schult auch KI, um die eingehenden Berichte zu validieren, zu sortieren und zu reparieren. Die Triagierung eines einzelnen Sicherheitsberichts erforderte zuvor fünf bis mehr als 30 Minuten menschlicher Aufmerksamkeit. Jetzt filtert eine hybride Pipeline aus Regeln und Modellen Spam und Duplikate heraus, reproduziert Bugs auf dem betroffenen Betriebssystem und der Chrome-Version, fügt Metadaten wie Schweregrad und Zeitpunkt der Einführung des Bugs hinzu und leitet sie an einen Besitzer weiter.
Google schätzt, dass die Änderung jeden Monat Hunderte von Entwicklerstunden spart.
Es führt einen Fixing-Agenten für Reparaturen aus, der mehrere Kandidaten-Patches vorschlägt, und einen zweiten Critic-Agenten, der den stärksten Kandidaten auswählt, und looppt so, wie es eine Code-Review tun würde, bis die Änderung kompiliert und die Chromium-Stilregeln erfüllt. Das System schreibt auch Tests, bevor ein Ingenieur die Freigabe erteilt.
Die Modelle lesen Quellcode auf abgeschotteten Maschinen ohne allgemeinen Internetzugang, laufen hinter einer allowlisteten Netzwerk-Interception und dürfen keine Dateien außerhalb der vorgesehenen Quellverzeichnisse berühren.
Google arbeitet daran, die „Patch-Lücke“ zu verringern, die Zeit zwischen dem Erscheinen eines Fixes im öffentlichen Quellcode und dem tatsächlichen Anwenden durch die Nutzer. Angreifer nutzen dieses Fenster, um einen Patch zu studieren und einen Exploit zu entwickeln. Google testet zwei Sicherheits-Releases pro Woche und arbeitet an dynamischem Patching, das es ermöglichen würde, Teile von Chrome ohne Neustart zu aktualisieren.
Der Anstieg veränderte auch Googles Bug-Bounty. Externe Einreichungen wuchsen so schnell, dass das Unternehmen bis März mehr Berichte hatte als das gesamte Jahr 2025 zusammen, was es dazu veranlasste, das Chrome Vulnerability Reward Program zu überarbeiten, um Forscher zu Bugs zu lenken, die seine Tools weniger wahrscheinlich finden.
Langfristig erweitert Google sein Memory-Safety-Tool MiraclePtr, konvertiert neue Komponenten in Rust und spendet 12,5 Millionen Dollar an das Open-Source-Sicherheitsprojekt Alpha-Omega.
Microsofts kürzlicher Patch Tuesday, der einen Rekord von 570 Schwachstellen patchte, erwähnte KI, aber Apple, mit einer unabhängigen Zählung von 482 Fixes im Jahr 2026, ist nicht auf der gleichen Kurve.
Die klügsten Krypto-Köpfe lesen bereits unseren Newsletter. Lust dabei? Mach mit.
Häufig gestellte Fragen
Wie viele Chrome-Bugs hat Google mit KI behoben und wann?
Google gab an, dass seine KI-Tools dabei halfen, 1.072 Sicherheitslücken in Chrome 149 und Chrome 150 zu beheben, beide im Juni 2026 veröffentlicht. Das übertrifft die 1.036 Fixes der vorherigen 23 Versionen zusammen.
Was war die 13-jährige Chrome-Schwachstelle?
Es handelte sich um eine Sandbox-Umgehung, die Anfang 2026 von Googles Gemini-basierten Agenten entdeckt wurde und seit über 13 Jahren im Code vorhanden war. Laut Google hätte der Fehler einen kompromittierten Renderer-Prozess dazu bringen können, den Browser zum Lesen lokaler Dateien zu verleiten.
Ist Google das einzige Unternehmen, das KI zur Behebung von Bugs einsetzt?
Nein. Microsoft erwähnte seinen KI-Einsatz nach dem Patches einer rekordverdächtigen 570 Schwachstellen an einem jüngeren Patch Tuesday. Eine unabhängige Zählung ergab, dass Apple 2026 482 Bugs behob.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com übernimmt keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor der Entscheidung für eine Anlage unabhängige Recherchen durchzuführen und/oder sich mit einem qualifizierten Fachmann beraten zu lassen.
Randa Moses
Randa Moses ist Redakteurin und Reporterin bei Cryptopolitan, wo sie über Technologie, KI, Robotik, Krypto, Betrug und Hacks berichtet. Sie arbeitet seit 2017 im Krypto-Bereich. Zuvor war sie bei Forward Protocol, AmaZix und Cryptosomniac tätig. Randa besitzt einen Abschluss in Elektrotechnik und Elektronik der University of Bradford.
