Google: l’IA ha corretto 1.072 bug di sicurezza in soli due aggiornamenti

In un recente annuncio, Google ha reso noto come l’impiego dell’intelligenza artificiale stia incrementando in modo significativo la capacità dell’azienda di individuare e risolvere vulnerabilità all’interno del proprio browser Chrome.

Questo ha portato alla correzione di oltre 1.000 bug di sicurezza nel corso degli ultimi due aggiornamenti principali, delineando un’integrazione sempre più estesa dell’IA nelle procedure aziendali.

Google Chrome, corretti oltre 1.000 problemi di sicurezza con l’IA

Nello specifico, i rilasci di Chrome 149 e 150 hanno comportato la risoluzione di 1.072 problemi, un volume superiore alla somma dei bug sistemati durante i precedenti 23 aggiornamenti del browser.

Attualmente, l’azienda di Mountain View fa largo impiego degli LLM in tutte le fasi della gestione delle vulnerabilità. Questa integrazione copre la scoperta dei difetti, la riproduzione dei report, la valutazione della gravità, l’assegnazione dei compiti agli sviluppatori, la creazione di patch preliminari e la stesura dei test.

Il percorso verso questo risultato è iniziato nel 2023, quando Google ha introdotto l’uso dei modelli linguistici per ottimizzare il security fuzzing. Successivamente, in collaborazione con Project Zero, è nato Naptime, un sistema studiato per fornire agli strumenti basati su IA le risorse specifiche necessarie per la ricerca sulle vulnerabilità

Questo lavoro è poi proseguito con il contributo di Google DeepMind, portando alla creazione di Big Sleep, un agente in grado di individuare falle all’interno del motore JavaScript V8 e nei componenti grafici di Chrome.

Le scoperte e i sistemi multi-agente

All’inizio dell’anno in corso, Google ha strutturato un sistema guidato da Gemini, ideato per analizzare il codice di Chrome in modo esteso e limitare i falsi positivi. Tra i successi di questo sistema si conta la scoperta di una vulnerabilità di tipo sandbox escape, latente nel codice sorgente da oltre 13 anni.

Tale difetto, se sfruttato, avrebbe consentito a un renderer compromesso di eludere la sandbox e ingannare il browser, ottenendo accesso ai file locali.

Parallelamente, Google sta invitando i propri sviluppatori a includere file SECURITY.md per delineare i limiti di affidabilità e i modelli di minaccia. Questa pratica agevola i sistemi di IA nel riconoscimento delle operazioni con implicazioni di sicurezza.

I flussi di lavoro basati su sistemi multi-agente sono concepiti per assistere, non per sostituire, i metodi di test di sicurezza tradizionali, incluso il fuzzing, che continua a dimostrarsi valido per scovare vulnerabilità articolate.

L’aumento delle segnalazioni e l’automazione

L’azienda ha registrato un forte aumento delle segnalazioni inoltrate tramite il Chrome Vulnerability Reward Program. Entro marzo 2026, il numero di report sulle falle di sicurezza aveva già superato il totale dell’intero 2025.

Questa impennata ha spinto Google a modificare il programma, dando priorità alle segnalazioni che arricchiscono le informazioni già raccolte e analizzate tramite gli strumenti automatizzati.

L’automazione si estende anche al processo di classificazione delle vulnerabilità. Questo include il filtraggio di spam e duplicati, la riproduzione degli exploit proof-of-concept, l’assegnazione dei livelli di gravità e l’indirizzamento dei report agli sviluppatori competenti.

Secondo le stime dell’azienda, questa procedura automatizzata consente di risparmiare centinaia di ore di lavoro degli sviluppatori ogni mese.

Sviluppo di patch e velocità di distribuzione

Una volta verificata la presenza di una vulnerabilità, agenti specifici generano diverse proposte di correzione, mentre un ulteriore agente valuta le soluzioni e prepara informazioni dettagliate per la revisione da parte degli sviluppatori. A maggio, l’intervento di questi sistemi ha bloccato più di 20 vulnerabilità, tra cui una di livello critico, prima che raggiungessero l’ambiente di produzione.

Tuttavia, Google sottolinea che una maggiore velocità nell’individuare e risolvere le falle impone anche una maggiore rapidità nella distribuzione degli aggiornamenti agli utenti.

Infatti, non appena una correzione viene inserita nel codice sorgente pubblico di Chrome, gli aggressori possono esaminare la modifica e tentare di effettuare il reverse-engineering della vulnerabilità prima che l’aggiornamento arrivi ai dispositivi degli utenti.

Per ridurre questo lasso di tempo, Chrome sta passando a un ciclo di rilascio principale bisettimanale, accompagnato da aggiornamenti di sicurezza settimanali, e sta sperimentando due rilasci di sicurezza a settimana.

Al fine di minimizzare i disagi per l’utente, Google è al lavoro sul “dynamic patching“, una tecnologia progettata per consentire l’installazione degli aggiornamenti senza richiedere il riavvio del browser. Inoltre, a partire dalla versione 150 su macOS, Chrome è in grado di riavviarsi in automatico per applicare un aggiornamento in sospeso quando si trova in esecuzione in background senza finestre attive.

L’intento finale dell’azienda è quello di mantenere il browser costantemente aggiornato mediante il dynamic patching, riavvii automatici nei momenti di inutilizzo e un perfezionamento del ripristino delle sessioni.

Questo articolo Google: l’IA ha corretto 1.072 bug di sicurezza in soli due aggiornamenti è stato pubblicato in origine su GizChina.it.