Google sagt, KI half Chrome, 1.072 Sicherheitslücken zu beheben

Google gibt an, dass KI dabei geholfen hat, 1.072 Sicherheitslücken in Chrome 149 und Chrome 150 zu beheben – mehr als in allen 23 vorherigen Releases zusammen.

Google setzt mittlerweile in nahezu jeder Phase des Schwachstellen-Managements von Chrome große Sprachmodelle ein.

Google setzt KI durchgängig bei den Sicherheitstests von Chrome ein

Die KI-Systeme von Google helfen den Sicherheitsteams, Schwachstellen zu finden, Fehlerberichte zu reproduzieren und den Schweregrad zu bewerten. Sie leiten Probleme auch an die richtigen Teams weiter, schlagen Patches vor und generieren Tests zur Validierung der Korrekturen. Gleichzeitig filtern sie Spam, Duplikate und minderwertige Berichte und sparen den Ingenieuren jeden Monat Hunderte von Stunden.

Seit 2023 hat Google große Sprachmodelle in seine Fuzzing-Systeme integriert, die Software mit unerwarteten oder fehlerhaften Eingaben testen, um Abstürze zu finden. Das Unternehmen gibt an, dass KI das Fuzzing unterstützt und nicht ersetzt, das nach wie vor wichtig ist, um komplexe Schwachstellen aufzudecken.

Sicherheitsdateien geben KI-Tools mehr Kontext

Google ermutigt Chrome-Entwickler, SECURITY.md-Dateien zu ihren Projekten hinzuzufügen.

Diese Dokumente beschreiben Vertrauensgrenzen, Bedrohungsmodelle, sicherheitskritische Operationen und andere Sicherheitsannahmen. Dieser zusätzliche Kontext hilft den KI-Systemen, gefährliches Verhalten von legitimen Browseraktivitäten zu unterscheiden.

Google möchte, dass Entwickler Sicherheitskontext zusammen mit dem Code bereitstellen, damit automatisierte Tools präzisere Ergebnisse liefern und Fehlalarme reduzieren können.

Mehrere KI-Agenten können konkurrierende Korrekturen prüfen

Google testet auch Multi-Agenten-Workflows, bei denen mehrere KI-Agenten dieselbe Schwachstelle analysieren.

Ein Agent kann einen Patch generieren, während ein anderer ihn auf Sicherheit, Kompatibilitätsprobleme oder unvollständige Fehlerbehebungen prüft, und wieder andere schlagen alternative Lösungen vor.

Berichten zufolge haben diese Systeme im Mai verhindert, dass über 20 Schwachstellen in die Produktion gelangten, darunter eine kritische Sicherheitslücke.

Entwickler überprüfen und genehmigen nach wie vor alle Korrekturen, wobei Google die Agenten als Unterstützungswerkzeuge positioniert und nicht als Ersatz für menschliche Ingenieure oder bestehende Sicherheitsprozesse.

Chrome-Fehlerberichte nehmen rapide zu

Das Vulnerability-Reward-Programm von Chrome verzeichnet einen starken Anstieg der Einsendungen; bis März 2026 hat Google mehr Berichte erhalten als im gesamten Jahr 2025.

KI-gestützte Forschung bringt möglicherweise viele der gleichen Probleme zutage wie interne Systeme, daher passt Google die Belohnungen an, um Berichte zu priorisieren, die einen einzigartigen Mehrwert bieten, wie etwa neue Angriffstechniken, übersehene Schwachstellen oder tiefergehende Auswirkungsanalysen.

Google möchte die Patch-Lücke von Chrome verringern

Die schnellere Schwachstellenerkennung veranlasst Google dazu, die Sicherheitsupdates für Chrome zu beschleunigen.

Wenn ein Patch veröffentlicht wird, können Angreifer ihn oft reverse-engineeren, um die zugrunde liegende Schwachstelle zu finden, was die Benutzer so lange exponiert, bis sie das Update installieren und den Browser neu starten. Dadurch entsteht eine „Patch-Lücke“, in der Exploits auftauchen können, bevor die Korrekturen flächendeckend angewendet wurden.

Um dem entgegenzuwirken, testet Google zweimal wöchentlich erscheinende Chrome-Sicherheitsupdates und entwickelt dynamisches Patchen, das einige Aktualisierungen ohne Neustart einspielen kann. Gemeinsam sollen diese Änderungen die Zeitspanne zwischen einer Korrektur und dem Schutz der Benutzer verkürzen und gleichzeitig Störungen minimieren.

KI-Sicherheitstools finden mehr Schwachstellen

Auch andere Technologieunternehmen setzen KI-Agenten ein, um Softwarefehler zu erkennen, wobei eine schnellere Fehlererkennung nicht garantiert, dass die Entwicklungsteams diese sofort beheben können.

Microsoft kann Berichten zufolge nicht alle von Anthropics Claude Mythos gefundenen Fehler beheben, was zeigt, wie KI-Sicherheitssysteme Schwachstellen schneller zutage fördern können, als Unternehmen sie untersuchen und patchen können.

Obwohl Mythos bei der Schwachstellenerkennung nützlich ist, zeigt ein kürzlicher Vorfall, dass KI-Agenten auch neue Sicherheitsrisiken einführen können, wenn Testumgebungen nicht ordnungsgemäß eingeschränkt sind. Dies wurde deutlich, als Anthropic mitteilte, Claude habe drei Organisationen gehackt und schädlichen PyPI-Code veröffentlicht, und zwar während interner Sicherheitstests.

Währenddessen setzen Angreifer weiterhin eher auf Social Engineering und Fernzugriffstools als allein auf Software-Schwachstellen. In einer separaten Kampagne führten Betrugsmaschen über den Microsoft-Teams-IT-Support zu Chaos-Ransomware-Angriffen, nachdem Bedrohungsakteure Mitarbeiter dazu überredet hatten, ihnen Fernzugriff zu gewähren.