Google affirme que l’IA a aidé Chrome à corriger 1 072 failles de sécurité

Google affirme que l’IA a aidé Chrome à corriger 1 072 bogues de sécurité dans les versions Chrome 149 et Chrome 150, dépassant le nombre total corrigé au cours des 23 versions précédentes combinées.

Google utilise désormais des grands modèles de langage à presque toutes les étapes du processus de gestion des vulnérabilités de Chrome.

Google utilise l’IA tout au long des tests de sécurité de Chrome

Les systèmes d’IA de Google aident les équipes de sécurité à trouver des vulnérabilités, à reproduire les rapports de bogues et à évaluer leur gravité. Ils orientent également les problèmes vers les bonnes équipes, suggèrent des correctifs et génèrent des tests pour valider les corrections, tout en filtrant le spam, les doublons et les rapports de mauvaise qualité, ce qui fait économiser aux ingénieurs des centaines d’heures chaque mois.

Depuis 2023, Google a intégré des grands modèles de langage dans ses systèmes de fuzzing, qui testent les logiciels avec des entrées inattendues ou mal formées pour trouver des plantages. L’entreprise indique que l’IA soutient plutôt qu’elle ne remplace le fuzzing, qui reste important pour découvrir des vulnérabilités complexes.

Les fichiers de sécurité fournissent plus de contexte aux outils d’IA

Google encourage les développeurs de Chrome à ajouter des fichiers SECURITY.md à leurs projets.

Ces documents décrivent les limites de confiance, les modèles de menace, les opérations sensibles et d’autres hypothèses de sécurité. Ce contexte supplémentaire aide les systèmes d’IA à distinguer un comportement dangereux de l’activité légitime du navigateur.

Google souhaite que les développeurs fournissent le contexte de sécurité en même temps que le code afin que les outils automatisés puissent produire des résultats plus précis et réduire les faux positifs.

Plusieurs agents IA peuvent examiner des correctifs concurrents

Google teste également des flux de travail multi-agents où plusieurs agents IA analysent la même vulnérabilité.

Un agent peut générer un correctif tandis qu’un autre l’examine pour des problèmes de sécurité, de compatibilité ou des corrections incomplètes, pendant que d’autres suggèrent des solutions alternatives.

En mai, ces systèmes auraient empêché plus de 20 vulnérabilités d’atteindre la production, dont une faille critique.

Les développeurs examinent et approuvent toujours toutes les corrections, Google positionnant les agents comme des outils de soutien plutôt que comme des remplacements des ingénieurs humains ou des processus de sécurité existants.

Les signalements de bogues de Chrome augmentent rapidement

Le programme de récompense pour les vulnérabilités de Chrome a connu une forte augmentation des soumissions, Google ayant reçu plus de rapports en mars 2026 que sur toute l’année 2025.

La recherche assistée par l’IA peut faire remonter de nombreux problèmes similaires à ceux des systèmes internes, aussi Google ajuste-t-il les récompenses pour donner la priorité aux rapports qui apportent une valeur unique, comme de nouvelles techniques d’attaque, des failles non détectées ou une analyse d’impact plus approfondie.

Google veut réduire le patch gap de Chrome

La découverte plus rapide des vulnérabilités pousse Google à accélérer les mises à jour de sécurité de Chrome.

Lorsqu’un correctif est publié, les attaquants peuvent souvent le rétroconcevoir pour trouver la faille sous-jacente, laissant les utilisateurs exposés jusqu’à ce qu’ils installent la mise à jour et redémarrent le navigateur. Cela crée un « patch gap » où des exploits peuvent apparaître avant que les correctifs ne soient largement appliqués.

Pour y remédier, Google expérimente des versions de sécurité de Chrome deux fois par semaine et développe un patching dynamique capable d’appliquer certaines mises à jour sans redémarrage. Ensemble, ces changements visent à réduire le délai entre une correction et la protection des utilisateurs tout en minimisant les perturbations.

Les outils de sécurité basés sur l’IA détectent davantage de vulnérabilités

D’autres entreprises technologiques utilisent également des agents IA pour détecter les failles logicielles, même si trouver des bogues plus rapidement ne garantit pas que les équipes d’ingénierie puissent les corriger immédiatement.

Microsoft aurait du mal à corriger tous les bogues découverts par Claude Mythos d’Anthropic, ce qui montre comment les systèmes de sécurité basés sur l’IA peuvent faire remonter des vulnérabilités plus vite que les entreprises ne peuvent les analyser et les corriger.

Bien que Mythos soit utile pour découvrir des vulnérabilités, un incident récent montre que les agents IA peuvent aussi introduire de nouveaux risques de sécurité lorsque les environnements de test ne sont pas correctement restreints, comme on l’a vu lorsque Anthropic a déclaré que Claude a piraté trois organisations et publié du code PyPI malveillant lors de tests de sécurité internes.

Pendant ce temps, les attaquants continuent de s’appuyer sur l’ingénierie sociale et les outils d’accès à distance plutôt que sur les seules vulnérabilités logicielles. Dans une campagne distincte, les escroqueries au support informatique via Microsoft Teams ont conduit à des attaques du rançongiciel Chaos après que des acteurs malveillants ont persuadé des employés de leur accorder un accès à distance.