Google afferma che l'IA ha aiutato Chrome a correggere 1.072 bug di sicurezza

Google afferma che l’IA ha contribuito a correggere 1.072 bug di sicurezza in Chrome 149 e Chrome 150, superando il totale risolto nelle precedenti 23 versioni messe insieme.

Google ora utilizza modelli linguistici di grandi dimensioni in quasi ogni fase del processo di gestione delle vulnerabilità di Chrome.

Google utilizza l’IA in tutti i test di sicurezza di Chrome

I sistemi di IA di Google aiutano i team di sicurezza a trovare vulnerabilità, riprodurre le segnalazioni di bug e valutarne la gravità. Instradano inoltre i problemi ai team giusti, suggeriscono patch e generano test per convalidare le correzioni, filtrando al contempo spam, duplicati e segnalazioni di bassa qualità, facendo risparmiare così agli ingegneri centinaia di ore ogni mese.

Dal 2023, Google ha integrato modelli linguistici di grandi dimensioni nei suoi sistemi di fuzzing, che testano il software con input imprevisti o malformati per trovare arresti anomali. L’azienda afferma che l’IA supporta il fuzzing anziché sostituirlo, che rimane importante per scoprire vulnerabilità complesse.

I file di sicurezza forniscono più contesto agli strumenti di IA

Google sta incoraggiando gli sviluppatori di Chrome ad aggiungere file SECURITY.md ai loro progetti.

Questi documenti descrivono i confini di fiducia, i modelli di minaccia, le operazioni sensibili e altre ipotesi di sicurezza. Questo contesto aggiuntivo aiuta i sistemi di IA a distinguere i comportamenti pericolosi dall’attività legittima del browser.

Google desidera che gli sviluppatori forniscano il contesto di sicurezza insieme al codice, in modo che gli strumenti automatizzati possano produrre risultati più accurati e ridurre i falsi positivi.

Più agenti IA possono esaminare correzioni in competizione

Google sta anche testando flussi di lavoro multi-agente in cui diversi agenti IA analizzano la stessa vulnerabilità.

Un agente può generare una patch mentre un altro la esamina per sicurezza, problemi di compatibilità o correzioni incomplete, mentre altri ancora suggeriscono soluzioni alternative.

A maggio, questi sistemi avrebbero impedito che oltre 20 vulnerabilità raggiungessero la produzione, inclusa una falla critica.

Gli sviluppatori esaminano e approvano ancora tutte le correzioni, con Google che posiziona gli agenti come strumenti di supporto piuttosto che come sostituti degli ingegneri umani o dei processi di sicurezza esistenti.

Le segnalazioni di bug di Chrome stanno aumentando rapidamente

Il Programma di Ricompensa per le Vulnerabilità di Chrome ha visto un forte aumento delle segnalazioni, con Google che ha ricevuto più rapporti entro marzo 2026 che in tutto il 2025.

La ricerca assistita dall’IA potrebbe far emergere molti degli stessi problemi dei sistemi interni, quindi Google sta modificando le ricompense per dare priorità alle segnalazioni che aggiungono valore unico, come nuove tecniche di attacco, difetti non individuati o un’analisi d’impatto più approfondita.

Google vuole ridurre il patch gap di Chrome

Una scoperta più rapida delle vulnerabilità sta spingendo Google ad accelerare gli aggiornamenti di sicurezza di Chrome.

Quando una patch viene pubblicata, gli attaccanti possono spesso decodificarla tramite reverse engineering per trovare la falla sottostante, lasciando gli utenti esposti fino a quando non installano l’aggiornamento e riavviano il browser. Questo crea un “patch gap” in cui gli exploit possono emergere prima che le correzioni siano ampiamente applicate.

Per affrontare questo problema, Google sta testando rilasci di sicurezza bisettimanali di Chrome e sviluppando patch dinamiche che possono applicare alcuni aggiornamenti senza riavvio. Insieme, queste modifiche mirano a ridurre il tempo tra una correzione e la protezione dell’utente, minimizzando al contempo le interruzioni.

Gli strumenti di sicurezza IA stanno trovando più vulnerabilità

Anche altre aziende tecnologiche stanno utilizzando agenti IA per rilevare difetti software, sebbene trovare bug più velocemente non garantisca che i team di ingegneri possano correggerli immediatamente.

Secondo quanto riferito, Microsoft non riesce a risolvere tutti i bug trovati da Claude Mythos di Anthropic, evidenziando come i sistemi di sicurezza IA possano far emergere vulnerabilità più velocemente di quanto le aziende possano esaminarle e correggerle.

Sebbene Mythos sia utile nello scoprire vulnerabilità, un recente incidente mostra che gli agenti IA possono anche introdurre nuovi rischi per la sicurezza quando gli ambienti di test non sono adeguatamente limitati, come visto quando Anthropic ha affermato che Claude ha hackerato tre organizzazioni e pubblicato codice PyPI malevolo durante i test di sicurezza interni.

Nel frattempo, gli attaccanti continuano a fare affidamento sull’ingegneria sociale e sugli strumenti di accesso remoto piuttosto che sulle sole vulnerabilità software. In una campagna separata, le truffe di supporto IT su Microsoft Teams hanno portato ad attacchi del ransomware Chaos dopo che gli autori delle minacce hanno convinto i dipendenti a concedere loro l’accesso remoto.