I patch AI di Google correggono 1.072 bug di Chrome ed espongono una vulnerabilità della sandbox di 13 anni
Foto di Zulfugar Karimov su Unsplash.
- Google ha dichiarato che gli strumenti AI hanno aiutato a risolvere 1.072 bug di sicurezza in Chrome 149 e Chrome 150.
- Un agente Gemini ha individuato un'evasione del renderer sandbox rimasta senza patch per oltre 13 anni.
- Google sta sperimentando due rilasci di sicurezza a settimana e sviluppando patching dinamico senza riavvio.
Google ha annunciato giovedì che i suoi strumenti AI hanno aiutato a correggere 1.072 bug di sicurezza nelle due versioni di Chrome rilasciate a giugno. Questo è più delle precedenti 23 release del browser combinate.
Uno di quegli strumenti ha anche trovato una vulnerabilità della sandbox che si nascondeva nel codice da oltre 13 anni.
L'AI di Google ha trovato un bug della sandbox di Chrome nascosto da 2013
Il conteggio di 1.072 include Chrome 149 e Chrome 150, entrambi rilasciati il mese scorso. Le 23 release stabili che Google ha distribuito negli ultimi due anni contenevano un totale di 1.036 correzioni.
I modelli linguistici di grandi dimensioni hanno “spostato fondamentalmente l'economia della cybersecurity, trasformando la scoperta delle vulnerabilità in un'operazione automatizzata su scala industriale”, ha dichiarato Doug Turner, direttore dell'ingegneria di Chrome. Modelli come Gemini permettono al team di correggere “preventivamente” le falle e stare avanti agli attaccanti, ha detto.
L'azienda ha dichiarato che “un aumento dei bug trovati e risolti non è un segno di fallimento.”
All'inizio del 2026, Google ha creato un harness per agent Gemini per setacciare l'intero codice di Chrome. Quel sistema ha trovato una fuga dalla sandbox che era nel codice da oltre 13 anni. La falla, se non corretta, potrebbe consentire a un processo renderer compromesso di ingannare il browser facendolo leggere file locali, ha detto Google.
Google esegue LLM contro il proprio lavoro di sicurezza da anni, iniziando con la copertura fuzzing nel 2023 e poi con gli strumenti Naptime con Project Zero nel 2024. DeepMind e Project Zero sono arrivati con la scoperta Big Sleep agent, individuando bug nel motore JavaScript V8 e nello stack grafico nel 2025.
Il harness del 2026 ha aggiunto modelli open-weight e proprietari interoperabili, una base di dati costruita dalla cronologia Git di Chrome e dai CVE precedenti, e un agent “critico” che scansiona i file SECURITY.md scritti dagli sviluppatori per imparare dove si trovano i confini di fiducia.
Le macchine ora triano e patchano i bug di Chrome
Google sta anche addestrando l'AI a validare, ordinare e riparare i report che arrivano. Il triage di un singolo report di sicurezza richiedeva prima da cinque a oltre 30 minuti di attenzione umana. Ora, una pipeline ibrida di regole e modelli filtra spam e duplicati, riproduce i bug sul sistema operativo interessato e sulla versione di Chrome, allega metadati come la gravità e quando il bug è stato introdotto, e lo instrada a un proprietario.
Google stima che il cambiamento risparmi centinaia di ore di sviluppo ogni mese.
Esegue un agent di riparazione per le correzioni, che propone diversi patch candidati, e un secondo agent critico, che sceglie il candidato più forte, ripetendo il ciclo come farebbe una revisione del codice fino a quando la modifica non compila e soddisfa le regole di stile di Chromium. Il sistema scrive anche i test prima che un ingegnere dia l'approvazione.
I modelli leggono il codice sorgente su macchine bloccate che non hanno accesso generale a Internet, funzionano dietro un'intercettazione di rete allowlisted e non sono autorizzati a toccare file al di fuori delle directory di origine designate.
Google sta lavorando per ridurre il “divario di patch”, il tempo tra quando una correzione appare nel codice sorgente pubblico e quando gli utenti la applicano effettivamente. Gli attaccanti hanno quella finestra per studiare una patch e sviluppare un exploit. Google sta sperimentando due release di sicurezza a settimana e sta lavorando su patching dinamico che permetterebbe di aggiornare parti di Chrome senza un riavvio completo.
L'impulso ha anche cambiato il bug bounty di Google. Le sottomissioni esterne sono cresciute così rapidamente che a marzo, l'azienda aveva più report di tutti quelli del 2025 combinati, spingendola a rinnovare il Chrome Vulnerability Reward Program per indirizzare i ricercatori verso bug che i suoi strumenti hanno meno probabilità di trovare.
Nel lungo termine, Google sta espandendo il suo strumento di sicurezza della memoria MiraclePtr, convertendo nuovi componenti in Rust e donando 12,5 milioni di dollari al progetto open-source di sicurezza Alpha-Omega.
Il recente Patch Tuesday di Microsoft, che ha patchato un record di 570 vulnerabilità, ha menzionato l'AI, ma Apple, con un conteggio indipendente di 482 correzioni nel 2026, non è sulla stessa curva.
I cervelli più intelligenti del crypto leggono già la nostra newsletter. Vuoi unirti a loro? Unisciti a loro.
Domande frequenti
Quanti bug di Chrome ha corretto Google con l'AI e quando?
Google ha dichiarato che i suoi strumenti AI hanno aiutato a risolvere 1.072 bug di sicurezza in Chrome 149 e Chrome 150, entrambi rilasciati a giugno 2026. Questo supera i 1.036 fix complessivi delle precedenti 23 versioni.
Qual era la vulnerabilità di Chrome di 13 anni?
Si trattava di un'evasione del sandbox individuata dall'agente basato su Gemini di Google all'inizio del 2026, che era rimasta nel codice per oltre 13 anni. Secondo Google, la falla avrebbe potuto permettere a un processo renderer compromesso di ingannare il browser per leggere file locali.
Google è l'unica azienda che utilizza l'AI per correggere più bug?
No. Microsoft ha citato l'uso della sua AI dopo aver corretto un record di 570 vulnerabilità in un recente Patch Tuesday. Un conteggio indipendente ha rilevato che Apple ha corretto 482 bug nel 2026.
Disclaimer. Le informazioni fornite non costituiscono consulenza finanziaria. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti basati sulle informazioni presenti in questa pagina. Si raccomanda vivamente di effettuare ricerche autonome e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Randa Moses
Randa Moses è un'editor e giornalista presso Cryptopolitan, dove si occupa di tecnologia, intelligenza artificiale, robotica, criptovalute, truffe e hacking. Opera nel settore delle criptovalute dal 2017. Ha ricoperto ruoli in Forward Protocol, AmaZix e Cryptosomniac. Randa è laureata in Ingegneria Elettrica ed Elettronica presso l'Università di Bradford.
