Google gibt an, dass KI dabei half, 1.072 Sicherheitslücken in Chrome zu beheben

Google gibt an, dass KI bei Chrome 149 und Chrome 150 dabei geholfen hat, 1.072 Sicherheitslücken zu beheben – mehr als in den 23 vorherigen Versionen zusammen.

Google setzt inzwischen in nahezu jeder Phase des Schwachstellen-Managementprozesses von Chrome große Sprachmodelle ein.

Google setzt KI in allen Bereichen der Chrome-Sicherheitstests ein

Die KI-Systeme von Google helfen den Sicherheitsteams dabei, Schwachstellen zu finden, Fehlerberichte zu reproduzieren und den Schweregrad zu bewerten. Sie leiten Probleme auch an die richtigen Teams weiter, schlagen Patches vor und generieren Tests, um Korrekturen zu validieren, während sie gleichzeitig Spam, Duplikate und Berichte von geringer Qualität herausfiltern – und ersparen den Entwicklern so jeden Monat Hunderte von Stunden.

Seit 2023 hat Google große Sprachmodelle in seine Fuzzing-Systeme integriert, die Software mit unerwarteten oder fehlerhaften Eingaben testen, um Abstürze zu finden. Das Unternehmen betont, dass KI das Fuzzing unterstützt und nicht ersetzt; Fuzzing bleibt wichtig, um komplexe Schwachstellen aufzudecken.

Sicherheitsdateien liefern KI-Tools mehr Kontext

Google ermutigt Chrome-Entwickler, ihren Projekten SECURITY.md-Dateien hinzuzufügen.

Diese Dokumente beschreiben Vertrauensgrenzen, Bedrohungsmodelle, sensible Operationen und andere Sicherheitsannahmen. Dieser zusätzliche Kontext hilft KI-Systemen, gefährliches Verhalten von legitimen Browseraktivitäten zu unterscheiden.

Google möchte, dass Entwickler Sicherheitskontext direkt zusammen mit dem Code bereitstellen, damit automatisierte Werkzeuge präzisere Ergebnisse liefern und Fehlalarme reduzieren können.

Mehrere KI-Agenten können konkurrierende Korrekturen prüfen

Google testet zudem Multi-Agenten-Workflows, bei denen mehrere KI-Agenten dieselbe Schwachstelle analysieren.

Ein Agent kann einen Patch generieren, während ein anderer ihn auf Sicherheit, Kompatibilitätsprobleme oder unvollständige Korrekturen prüft, und weitere Agenten alternative Lösungen vorschlagen.

Im Mai konnten diese Systeme Berichten zufolge verhindern, dass über 20 Schwachstellen – darunter eine kritische – in die Produktion gelangten.

Entwickler überprüfen und genehmigen weiterhin alle Korrekturen; Google positioniert die Agenten als Unterstützungswerkzeuge und nicht als Ersatz für menschliche Ingenieure oder bestehende Sicherheitsprozesse.

Chrome-Fehlerberichte nehmen rasant zu

Das Vulnerability-Reward-Programm von Chrome verzeichnet einen starken Anstieg der Einreichungen: Bis März 2026 erhielt Google mehr Berichte als im gesamten Jahr 2025.

KI-gestützte Forschung könnte viele der gleichen Probleme wie interne Systeme zutage fördern. Daher passt Google die Belohnungen an, um Berichte zu priorisieren, die einen einzigartigen Mehrwert bieten – etwa neue Angriffstechniken, übersehene Schwachstellen oder tiefergehende Auswirkungsanalysen.

Google will die Patch-Lücke von Chrome verkleinern

Die schnellere Entdeckung von Schwachstellen zwingt Google dazu, die Sicherheitsupdates von Chrome zu beschleunigen.

Wird ein Patch veröffentlicht, können Angreifer ihn häufig zurückentwickeln, um die zugrunde liegende Schwachstelle zu finden; die Nutzer sind dann ungeschützt, bis sie das Update installieren und den Browser neu starten. Dadurch entsteht eine „Patch-Lücke“, in der Exploits auftauchen können, bevor die Korrekturen weit verbreitet sind.

Um dem entgegenzuwirken, testet Google zweimal wöchentlich erscheinende Sicherheitsversionen von Chrome und entwickelt dynamisches Patchen, mit dem einige Updates ohne Neustart angewendet werden können. Diese Änderungen sollen gemeinsam die Zeit zwischen einer Korrektur und dem Schutz der Nutzer verkürzen und gleichzeitig Unterbrechungen minimieren.

KI-Sicherheitswerkzeuge finden mehr Schwachstellen

Auch andere Technologieunternehmen setzen KI-Agenten zur Erkennung von Softwarefehlern ein, wobei eine schnellere Fehlersuche nicht garantiert, dass die Entwicklungsteams sie umgehend beheben können.

Microsoft kann Berichten zufolge nicht alle von Anthropics Claude Mythos gefundenen Fehler beheben, was verdeutlicht, dass KI-Sicherheitssysteme Schwachstellen schneller aufdecken können, als Unternehmen sie untersuchen und patchen können.

Während Mythos beim Entdecken von Schwachstellen nützlich ist, zeigt ein jüngster Vorfall, dass KI-Agenten auch neue Sicherheitsrisiken einführen können, wenn Testumgebungen nicht ordnungsgemäß eingeschränkt sind – wie sich zeigte, als Anthropic mitteilte, dass Claude drei Organisationen gehackt und schädlichen PyPI-Code veröffentlicht hat während interner Sicherheitstests.

Unterdessen setzen Angreifer weiterhin auf Social Engineering und Fernzugriffstools, anstatt sich allein auf Software-Schwachstellen zu verlassen. In einer separaten Kampagne führten Microsoft-Teams-IT-Support-Betrugsmaschen zu Chaos-Ransomware-Angriffen, nachdem Bedrohungsakteure Mitarbeiter dazu überredet hatten, ihnen Fernzugriff zu gewähren.