Google afferma che l'IA ha aiutato Chrome a correggere 1.072 bug di sicurezza

Google afferma che l’IA ha aiutato Chrome a correggere 1.072 bug di sicurezza tra Chrome 149 e Chrome 150, superando il totale risolto nelle precedenti 23 versioni messe insieme.

Google ora utilizza modelli linguistici di grandi dimensioni in quasi ogni fase del processo di gestione delle vulnerabilità di Chrome.

Google utilizza l’IA in ogni fase dei test di sicurezza di Chrome

I sistemi di IA di Google aiutano i team di sicurezza a trovare vulnerabilità, riprodurre le segnalazioni di bug e valutarne la gravità. Instradano inoltre i problemi ai team giusti, suggeriscono patch e generano test per convalidare le correzioni, filtrando al contempo spam, duplicati e segnalazioni di bassa qualità, facendo risparmiare così centinaia di ore agli ingegneri ogni mese.

Dal 2023, Google ha integrato modelli linguistici di grandi dimensioni nei suoi sistemi di fuzzing, che testano il software con input imprevisti o malformati per individuare arresti anomali. L’azienda afferma che l’IA supporta, anziché sostituire, il fuzzing, che rimane importante per scoprire vulnerabilità complesse.

I file di sicurezza forniscono più contesto agli strumenti di IA

Google sta incoraggiando gli sviluppatori di Chrome ad aggiungere file SECURITY.md ai loro progetti.

Questi documenti descrivono i confini di fiducia, i modelli di minaccia, le operazioni sensibili e altre ipotesi di sicurezza. Questo contesto aggiuntivo aiuta i sistemi di IA a distinguere i comportamenti pericolosi dalle normali attività del browser.

Google vuole che gli sviluppatori forniscano il contesto di sicurezza insieme al codice, in modo che gli strumenti automatizzati possano produrre risultati più accurati e ridurre i falsi positivi.

Agenti di IA multipli possono revisionare correzioni concorrenti

Google sta anche testando flussi di lavoro multi-agente, in cui diversi agenti di IA analizzano la stessa vulnerabilità.

Un agente può generare una patch mentre un altro la revisiona per verificarne la sicurezza, i problemi di compatibilità o le correzioni incomplete, mentre altri ancora suggeriscono soluzioni alternative.

A maggio, secondo quanto riferito, questi sistemi hanno impedito che oltre 20 vulnerabilità raggiungessero la produzione, inclusa una falla critica.

Gli sviluppatori esaminano e approvano comunque tutte le correzioni, con Google che posiziona gli agenti come strumenti di supporto piuttosto che come sostituti degli ingegneri umani o dei processi di sicurezza esistenti.

Le segnalazioni di bug di Chrome aumentano rapidamente

Il Programma di ricompensa per le vulnerabilità di Chrome ha registrato un forte aumento delle segnalazioni: Google ha ricevuto più segnalazioni entro marzo 2026 che in tutto il 2025.

La ricerca assistita dall’IA potrebbe far emergere molti degli stessi problemi dei sistemi interni; perciò Google sta modificando le ricompense per dare priorità alle segnalazioni che apportano un valore unico, come nuove tecniche di attacco, falle non rilevate o analisi d’impatto più approfondite.

Google vuole ridurre il “patch gap” di Chrome

La scoperta più rapida delle vulnerabilità sta spingendo Google ad accelerare gli aggiornamenti di sicurezza di Chrome.

Quando viene pubblicata una patch, gli aggressori possono spesso decodificarla per trovare la falla sottostante, lasciando gli utenti esposti fino a quando non installano l’aggiornamento e riavviano il browser. Ciò crea un “patch gap”, un intervallo in cui gli exploit possono emergere prima che le correzioni siano ampiamente applicate.

Per affrontare il problema, Google sta testando rilasci di sicurezza di Chrome bisettimanali e sviluppando patch dinamiche in grado di applicare alcuni aggiornamenti senza riavvio. Insieme, questi cambiamenti mirano a ridurre il tempo tra una correzione e la protezione degli utenti, minimizzando le interruzioni.

Gli strumenti di sicurezza IA trovano sempre più vulnerabilità

Anche altre aziende tecnologiche stanno utilizzando agenti di IA per rilevare falle nel software, anche se trovare bug più rapidamente non garantisce che i team di ingegneri possano correggerli immediatamente.

Secondo quanto riferito, Microsoft non riesce a risolvere tutti i bug trovati da Claude Mythos di Anthropic, evidenziando come i sistemi di sicurezza IA possano far emergere vulnerabilità più velocemente di quanto le aziende riescano a esaminarle e correggerle.

Sebbene Mythos sia utile nella scoperta delle vulnerabilità, un recente incidente dimostra che gli agenti di IA possono anche introdurre nuovi rischi per la sicurezza quando gli ambienti di test non sono adeguatamente limitati, come si è visto quando Anthropic ha dichiarato che Claude ha hackerato tre organizzazioni e pubblicato codice dannoso su PyPI durante test di sicurezza interni.

Nel frattempo, gli aggressori continuano a fare affidamento sull’ingegneria sociale e sugli strumenti di accesso remoto, piuttosto che solo sulle vulnerabilità software. In una campagna separata, le truffe di supporto IT su Microsoft Teams hanno portato ad attacchi del ransomware Chaos, dopo che gli attori delle minacce hanno convinto i dipendenti a concedere loro l’accesso remoto.