Les correctifs IA de Google corrigent 1 072 bugs Chrome et exposent une faille de sandbox vieille de 13 ans
Photo par Zulfugar Karimov sur Unsplash.
- Google a indiqué que des outils d'IA ont permis de corriger 1 072 failles de sécurité dans Chrome 149 et Chrome 150.
- Un agent Gemini a découvert une évasion du bac à sable du processeur d'affichage, restée non corrigée depuis plus de 13 ans.
- Google teste deux mises à jour de sécurité par semaine et développe un patchage dynamique sans redémarrage.
Google a annoncé jeudi que ses outils IA ont aidé à corriger 1 072 bugs de sécurité sur les deux versions de Chrome qu’il a livrées en juin. Cela représente plus que les 23 versions précédentes du navigateur combinées.
L’un de ces outils a également trouvé une vulnérabilité de sandbox qui se cachait dans le code depuis plus de 13 ans.
L’IA de Google a trouvé un bug de sandbox Chrome caché depuis 2013
Le chiffre de 1 072 inclut Chrome 149 et Chrome 150, tous deux sortis le mois dernier. Les 23 versions stables livrées par Google au cours des deux dernières années contenaient un total de 1 036 correctifs.
« Les grands modèles de langage ont fondamentalement changé l’économie de la cybersécurité, transformant la découverte de vulnérabilités en une opération automatisée à l’échelle industrielle », a déclaré Doug Turner, directeur de l’ingénierie de Chrome. Des modèles comme Gemini permettent à l’équipe de corriger « proactivement » les failles et de devancer les attaquants, a-t-il ajouté.
L’entreprise a déclaré qu’« une augmentation des bugs trouvés et corrigés n’est pas un signe d’échec ».
Début 2026, Google a construit un harnais d’agent Gemini pour trier l’ensemble de la base de code Chrome. Ce système a trouvé une évasion de sandbox qui était dans le code depuis plus de 13 ans. La faille, si elle n’était pas corrigée, aurait permis à un processus de rendu compromis de tromper le navigateur pour qu’il lise des fichiers locaux, a indiqué Google.
Google exécute des LLMs contre ses propres travaux de sécurité depuis des années, commençant par la couverture de fuzzing en 2023, puis avec les outils Naptime et Project Zero en 2024. DeepMind et Project Zero sont arrivés avec l’agent de découverte Big Sleep agent, découvrant des bugs dans le moteur JavaScript V8 et la pile graphique en 2025.
Le harnais de 2026 a ajouté des modèles ouverts et propriétaires interopérables, une base de connaissances construite à partir de l’historique Git de Chrome et des CVE précédentes, et un agent « critique » qui scanne les fichiers SECURITY.md écrits par les développeurs pour apprendre où se trouvent les limites de confiance.
Les machines trient et corrigent désormais les bugs Chrome
Google forme également l’IA à valider, trier et réparer les rapports reçus. Le tri d’un seul rapport de sécurité prenait auparavant cinq à plus de 30 minutes d’attention humaine. Maintenant, un pipeline hybride de règles et de modèles filtre les spams et les doublons, reproduit les bugs sur le système d’exploitation affecté et la version de Chrome, attache des métadonnées comme la gravité et la date d’introduction du bug, et le route vers un propriétaire.
Google estime que ce changement permet d’économiser des centaines d’heures de développement chaque mois.
Il exécute un agent de correction pour les réparations, qui propose plusieurs correctifs candidats, et un second agent critique, qui choisit le candidat le plus fort, en bouclant comme le ferait une revue de code jusqu’à ce que le changement compile et respecte les règles de style de Chromium. Le système écrit également des tests avant la validation par un ingénieur.
Les modèles lisent le code source sur des machines verrouillées qui n’ont aucun accès internet général, fonctionnent derrière une interception réseau autorisée par liste blanche, et ne sont pas autorisés à toucher des fichiers en dehors des répertoires source désignés.
Google s’efforce de réduire l’« écart de correctif », le temps entre l’apparition d’un correctif dans le code source public et son application effective par les utilisateurs. Les attaquants disposent de cette fenêtre pour étudier un correctif et développer un exploit. Google teste deux versions de sécurité par semaine et travaille sur un correctif dynamique qui permettrait de mettre à jour des parties de Chrome sans redémarrage complet.
Cette augmentation a également changé le programme de prime de bugs de Google. Les soumissions externes ont augmenté si rapidement qu’en mars, l’entreprise avait plus de rapports que toute l’année 2025 combinée, l’amenant à refondre le Chrome Vulnerability Reward Program pour orienter les chercheurs vers des bugs que ses outils sont moins susceptibles de trouver.
À plus long terme, Google étend son outil de sécurité mémoire MiraclePtr, convertit de nouveaux composants en Rust, et fait un don de 12,5 millions de dollars au projet de sécurité open-source Alpha-Omega.
Le récent Patch Tuesday de Microsoft, qui a corrigé un record de 570 failles, a mentionné l’IA, mais Apple, avec un décompte indépendant de 482 correctifs en 2026, n’est pas sur la même courbe.
Ne vous contentez pas de lire les actualités crypto. Comprenez-les. Abonnez-vous à notre newsletter. C'est gratuit.
FAQ
Combien de bogues Chrome Google a-t-il corrigés grâce à l'IA, et quand ?
Google a déclaré que ses outils d'IA ont aidé à corriger 1 072 failles de sécurité dans Chrome 149 et Chrome 150, tous deux sortis en juin 2026. Cela dépasse les 1 036 correctifs cumulés sur les 23 versions précédentes.
Quelle était la vulnérabilité Chrome vieille de 13 ans ?
Il s'agissait d'une évasion de bac à sable découverte par un agent basé sur Gemini de Google au début de 2026, qui était présente dans le code depuis plus de 13 ans. Selon Google, cette faille aurait pu permettre à un processus d'affichage compromis de tromper le navigateur pour qu'il lise des fichiers locaux.
Google est-il la seule entreprise à utiliser l'IA pour corriger davantage de bogues ?
Non. Microsoft a cité son utilisation de l'IA après avoir corrigé un record de 570 failles lors d'un Patch Tuesday récent. Un décompte indépendant a révélé qu'Apple avait corrigé 482 bogues en 2026.
Avertissement. Les informations fournies ne constituent pas des conseils en matière de trading. Cryptopolitan.com décline toute responsabilité concernant les investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement une recherche indépendante et/ou une consultation avec un professionnel qualifié avant de prendre toute décision d'investissement.
Randa Moses
Randa Moses est rédactrice et journaliste chez Cryptopolitan, couvrant la technologie, l'IA, la robotique, la crypto, les arnaques et les piratages. Elle évolue dans l'espace crypto depuis 2017. Elle a occupé des postes chez Forward Protocol, AmaZix et Cryptosomniac. Randa détient un diplôme en génie électrique et électronique de l'Université de Bradford.
