Google dice che l'IA ha aiutato Chrome a correggere 1.072 bug di sicurezza

Google afferma che l’IA ha contribuito a correggere 1.072 bug di sicurezza tra Chrome 149 e Chrome 150, superando il totale di quelli corretti nei 23 rilasci precedenti messi insieme.

Google ora utilizza modelli linguistici di grandi dimensioni in quasi ogni fase del processo di gestione delle vulnerabilità di Chrome.

Google utilizza l’IA in tutte le fasi dei test di sicurezza di Chrome

I sistemi di IA di Google aiutano i team di sicurezza a trovare vulnerabilità, riprodurre le segnalazioni di bug e valutarne la gravità. Instradano inoltre i problemi ai team giusti, suggeriscono patch e generano test per convalidare le correzioni, filtrando al contempo spam, duplicati e segnalazioni di bassa qualità, facendo così risparmiare centinaia di ore agli ingegneri ogni mese.

Dal 2023, Google ha integrato modelli linguistici di grandi dimensioni nei suoi sistemi di fuzzing, che testano il software con input imprevisti o malformati per trovare crash. L’azienda afferma che l’IA supporta, anziché sostituire, il fuzzing, che rimane importante per scoprire vulnerabilità complesse.

I file di sicurezza forniscono più contesto agli strumenti di IA

Google sta incoraggiando gli sviluppatori di Chrome ad aggiungere file SECURITY.md ai loro progetti.

Questi documenti descrivono i confini di fiducia, i modelli di minaccia, le operazioni sensibili e altre ipotesi di sicurezza. Questo contesto aggiuntivo aiuta i sistemi di IA a distinguere i comportamenti pericolosi dall’attività legittima del browser.

Google vuole che gli sviluppatori forniscano il contesto di sicurezza insieme al codice, in modo che gli strumenti automatizzati possano produrre risultati più accurati e ridurre i falsi positivi.

Agenti IA multipli possono revisionare correzioni concorrenti

Google sta anche testando flussi di lavoro multi-agente in cui diversi agenti IA analizzano la stessa vulnerabilità.

Un agente può generare una patch mentre un altro la revisiona per sicurezza, problemi di compatibilità o correzioni incomplete, mentre altri ancora suggeriscono soluzioni alternative.

A maggio, questi sistemi avrebbero impedito a oltre 20 vulnerabilità di raggiungere la produzione, inclusa una falla critica.

Gli sviluppatori revisionano e approvano ancora tutte le correzioni, con Google che posiziona gli agenti come strumenti di supporto piuttosto che come sostituti degli ingegneri umani o dei processi di sicurezza esistenti.

Le segnalazioni di bug di Chrome stanno aumentando rapidamente

Il Programma di Ricompensa per le Vulnerabilità di Chrome ha registrato un forte aumento delle segnalazioni, con Google che ha ricevuto più segnalazioni entro marzo 2026 che in tutto il 2025.

La ricerca assistita dall’IA potrebbe far emergere molti degli stessi problemi dei sistemi interni, quindi Google sta adeguando le ricompense per dare priorità alle segnalazioni che apportano un valore unico, come nuove tecniche di attacco, falle non rilevate o analisi d’impatto più approfondite.

Google vuole ridurre il gap delle patch di Chrome

La scoperta più rapida delle vulnerabilità sta spingendo Google ad accelerare gli aggiornamenti di sicurezza di Chrome.

Quando una patch viene pubblicata, gli aggressori possono spesso decodificarla tramite reverse engineering per trovare la falla sottostante, lasciando gli utenti esposti fino a quando non installano l’aggiornamento e riavviano il browser. Questo crea un “gap delle patch” in cui gli exploit possono emergere prima che le correzioni siano ampiamente applicate.

Per affrontare questo problema, Google sta testando rilasci di sicurezza bisettimanali per Chrome e sviluppando patch dinamiche in grado di applicare alcuni aggiornamenti senza riavvio. Insieme, queste modifiche mirano a ridurre il tempo tra una correzione e la protezione dell’utente, minimizzando al contempo le interruzioni.

Gli strumenti di sicurezza IA stanno trovando più vulnerabilità

Anche altre aziende tecnologiche stanno utilizzando agenti IA per rilevare i difetti del software, anche se trovare bug più velocemente non garantisce che i team di ingegneri possano correggerli immediatamente.

Microsoft, a quanto riferito, non riesce a gestire tutti i bug trovati da Claude Mythos di Anthropic, evidenziando come i sistemi di sicurezza IA possano far emergere vulnerabilità più velocemente di quanto le aziende riescano a esaminarle e correggerle.

Sebbene Mythos sia utile per scoprire vulnerabilità, un recente incidente mostra che gli agenti IA possono anche introdurre nuovi rischi per la sicurezza quando gli ambienti di test non sono adeguatamente limitati, come si è visto quando Anthropic ha affermato che Claude ha hackerato tre organizzazioni e pubblicato codice malevolo su PyPI durante i test di sicurezza interni.

Nel frattempo, gli aggressori continuano a fare affidamento sull’ingegneria sociale e sugli strumenti di accesso remoto piuttosto che sulle sole vulnerabilità software. In una campagna separata, le truffe di supporto IT su Microsoft Teams hanno portato ad attacchi del ransomware Chaos dopo che gli autori delle minacce hanno convinto i dipendenti a concedere loro l’accesso remoto.