Cos'è il dynamic patching, così Chrome vuole eliminare il riavvio dopo gli aggiornamenti

Google ha messo nero su bianco il piano per cancellare uno dei fastidi più radicati del suo browser: il riavvio obbligatorio dopo ogni aggiornamento. In un lungo intervento dedicato al ruolo dell'AI nella sicurezza, l'azienda ha annunciato di lavorare al dynamic patching, una tecnica pensata per installare le patch mentre l'utente continua a navigare. Chrome diventa così il banco di prova di un modello di aggiornamento che vuole ridurre al minimo le interruzioni.

Il nodo è tecnico e concreto. Tra la scoperta di una falla e la sua correzione passano in genere uno o due giorni, ma il tempo che l'utente impiega a riavviare il browser allarga la cosiddetta finestra di rischio. È il terreno degli attacchi N-day, quelli che sfruttano vulnerabilità già corrette ma non ancora scaricate sul dispositivo, e Google vuole spostare quel peso lontano dalle spalle dell'utente.

Il funzionamento poggia sull'architettura multiprocesso del browser. Il dynamic patching sostituisce al volo i processi figli in background, come Renderer e GPU, con i binari aggiornati, evitando di chiudere e riaprire tutto. La funzione resta in fase di ricerca e sviluppo, e Google sta lavorando in parallelo a un ripristino della sessione fluido anche nei casi più complessi, salvando localmente una maggiore quantità di stato.

Riavvii automatici e ciclo di aggiornamento più stretto: cosa succederà a Chrome

Il problema diventa più pressante con il passaggio al ciclo di rilascio di due settimane previsto entro l'anno. Google valuta addirittura due aggiornamenti di sicurezza a settimana per rispondere ad attacchi resi più rapidi proprio dall'AI. Nel frattempo, cerca "momenti opportuni" per riavviare in automatico solo quando può garantire il recupero della sessione.

Un primo assaggio è già arrivato. In Chrome 150 su macOS, il browser sfrutta lo stato in cui le applicazioni restano attive in background anche dopo la chiusura di tutte le finestre: se c'è un aggiornamento in sospeso e nessuna finestra aperta, il riavvio scatta da solo, senza che l'utente se ne accorga.

Dietro l'accelerazione c'è l'uso massiccio di modelli per scovare i bug, un lavoro partito nel 2023. Google ha costruito un sistema di agenti basato su Gemini e altri modelli per individuare vulnerabilità nell'intero codice di Chromium con più efficienza e meno falsi positivi. Un caso su tutti: una falla rimasta nascosta nel codice per 13 anni.

Sul fronte della sicurezza operativa, l'azienda tiene a marcare i paletti. I modelli analizzano il codice sorgente "a riposo" su macchine isolate prive di accesso a Internet, con un'infrastruttura che intercetta le richieste di rete e le filtra tramite allowlist rigide. Nessun modello gira in modalità libera, e i subagenti non possono modificare il sistema locale né toccare file fuori dalle cartelle del codice.

La collaborazione con DeepMind e Project Zero, attraverso strumenti come BigSleep e CodeMender, è integrata nella CI e gira ogni 24 ore su tutte le modifiche. Solo a maggio ha bloccato oltre 20 vulnerabilità prima che raggiungessero la produzione, incluso un problema critico di livello S1+. Sul versante delle correzioni entra in gioco un flusso multi-agente: un agente genera più patch candidate, un agente "critico" sceglie la migliore in un ciclo che imita la revisione del codice, mentre altri agenti scrivono i test su tutte le piattaforme supportate.

I numeri raccontano il salto. Tra Chrome 149 e 150 sono stati corretti 1072 bug di sicurezza, più di quanti ne fossero stati sistemati nelle 23 versioni precedenti messe insieme. La visione dichiarata è quella di un browser sempre aggiornato, corretto in modo continuo e riavviato solo nei momenti di minima interferenza. È ancora da capire quanto il dynamic patching reggerà fuori dai laboratori, quando andrà applicato ai casi reali e complessi che oggi restano al centro della ricerca.