Chrome verso i due aggiornamenti a settimana? Corrette 1.072 falle in sole due versioni

Google ha svelato che l'intelligenza artificiale ha permesso a Chrome di chiudere 1.072 bug di sicurezza nelle sole versioni 149 e 150, un numero superiore alla somma delle 23 release precedenti messe insieme. Il dato arriva da un approfondimento tecnico del team di sicurezza del browser, che ha riscritto il modo in cui vengono scovate e tappate le vulnerabilità.

Il cuore del cambiamento sta nell'uso dei modelli linguistici lungo l'intera catena. Gemini viene impiegato per individuare le falle, riprodurre le segnalazioni, stabilirne la gravità, assegnarle agli sviluppatori, generare le patch candidate e scrivere i test di verifica. Non un singolo strumento, ma una pipeline di agenti che si passano il lavoro.

La strada parte da lontano. Google sfrutta gli LLM per il fuzzing dal 2023, poi ha lavorato con Project Zero al sistema Naptime e, insieme a Google DeepMind, all'agente Big Sleep, capace di individuare difetti nel motore JavaScript V8 e nei componenti grafici. All'inizio del 2026 è arrivato un agent harness basato su Gemini, pensato per setacciare l'intero codice di Chrome tenendo sotto controllo i falsi positivi.

Agenti che scrivono le patch e altri che le bocciano, cosa succede nella cybersecurity

Proprio questo sistema ha portato alla luce una falla rimasta invisibile per oltre 13 anni: un'evasione dalla sandbox che, se sfruttata, avrebbe consentito a un renderer compromesso di uscire dall'isolamento e ingannare il browser fino a fargli leggere file locali.

Il vero collo di bottiglia non è più trovare i bug, insomma, ma gestirne la valanga. Entro marzo 2026 il programma di ricompense aveva già raccolto più segnalazioni dell'intero 2025, tanto da spingere Google a rivedere le regole e premiare i report che aggiungono qualcosa a quanto l'automazione intercetta già da sola.

Il triage è ora affidato ai modelli, che filtrano spam e duplicati, riproducono i proof-of-concept, assegnano un punteggio di gravità e smistano tutto allo sviluppatore giusto, con un risparmio stimato di centinaia di ore di lavoro al mese. A valle intervengono i fixing agent, che propongono più patch alternative, i critic agent che le valutano contro gli standard di Chromium e i test-writing agent che generano le suite cross-platform. Integrati nella continuous integration, questi modelli analizzano ogni commit nell'arco di 24 ore: a maggio hanno bloccato oltre 20 vulnerabilità prima che finissero in produzione, tra cui una classificata come critica.

Sul fronte strutturale, il team continua a irrobustire il vecchio codice C++ ma punta a lungo termine sulla migrazione verso linguaggi memory-safe come Rust, alla radice di gran parte delle falle più gravi dei browser.

Resta un problema che l'IA da sola non risolve. Appena una correzione finisce nel codice sorgente pubblico, gli aggressori possono studiarla e ricostruire la vulnerabilità prima che l'update raggiunga gli utenti, la finestra nota come patch gap. Per stringerla, Google sta sperimentando due release di sicurezza a settimana e sta lavorando al dynamic patching, che sfrutta l'architettura multi-processo per sostituire al volo processi come Renderer e GPU senza chiudere il browser.

Il primo passo concreto arriva con Chrome 150 su macOS, dove il browser può riavviarsi da solo per applicare un aggiornamento in sospeso quando gira in background senza finestre aperte. L'obiettivo dichiarato è un browser sempre aggiornato, in silenzio e senza interruzioni. L'ammissione implicita, però, è netta: senza gli agenti IA, tenere il ritmo delle patch stava diventando insostenibile, argomento che Google ha in comune con altre realtà del settore.