Штучний інтелект знайшов у Chrome понад тисячу вразливостей: Google готує браузер до нової ери атак

Google розповіла про різке прискорення пошуку та усунення вразливостей у браузері Chrome завдяки використанню штучного інтелекту. Лише у двох останніх великих версіях браузера — Chrome 149 і Chrome 150 — компанія виправила 1072 помилки безпеки. Це більше, ніж було усунуто загалом у попередніх 23 великих оновленнях програми.

Інформація є офіційною та опублікована командою безпеки Chrome у корпоративному блозі Google. Компанія наголошує, що велика кількість знайдених проблем не означає погіршення якості браузера. Навпаки, нові інструменти дозволили помітити вразливості, які раніше могли роками залишатися прихованими у величезній кодовій базі Chromium.

Gemini перевіряє не лише новий код Chrome

На початку 2026 року Google створила спеціальне агентне середовище на базі Gemini. Воно здатне аналізувати практично всю кодову базу Chrome, а не тільки нещодавно додані або змінені компоненти.

Система отримала доступ до історії змін Chromium, інформації про раніше знайдені вразливості CVE та внутрішніх документів, які описують межі безпеки різних компонентів браузера. Завдяки цьому модель може краще розуміти призначення коду та визначати, які дії потенційно здатні призвести до витоку даних або обходу захисту.

Під час однієї з таких перевірок ШІ-агент виявив особливо показову помилку. Вразливість дозволяла скомпрометованому процесу відображення вебсторінки змусити браузер прочитати локальні файли користувача. Проблема непомітно існувала в коді Chrome понад 13 років.

ШІ допомагає не тільки знаходити помилки

Google використовує мовні моделі на кількох етапах роботи з уразливостями. Після виявлення потенційної проблеми автоматизована система перевіряє повідомлення, відсіює спам і дублікати, намагається відтворити помилку та визначає, яких операційних систем і версій браузера вона стосується.

Після цього до звіту автоматично додаються технічні відомості, зокрема журнал виконання, приблизний рівень небезпеки та компонент Chrome, відповідальний за проблему. Google оцінює, що така автоматизація вже заощаджує розробникам сотні годин щомісяця.

Для підготовки виправлень застосовується система з кількох агентів. Одна модель створює декілька можливих варіантів патча, інша перевіряє запропонований код, а окремі агенти допомагають написати тести для Windows, macOS, Linux та інших підтримуваних платформ. Остаточне рішення та перевірка виправлення при цьому залишаються за розробниками.

Чому кількість знайдених вразливостей так різко зросла

У Chrome 149 і Chrome 150 компанія виправила 1072 проблеми безпеки. За даними незалежних технологічних видань, у попередніх 23 великих версіях браузера сумарно було закрито близько 1036 вразливостей.

Раніше аудит великого програмного проєкту значною мірою залежав від часу та досвіду окремих фахівців. ШІ-агенти можуть багаторазово аналізувати мільйони рядків коду, порівнювати їх з історією відомих атак і повертатися до старих компонентів після оновлення моделей.

Водночас автоматизація не замінює традиційні методи тестування. Google продовжує використовувати фазинг, статичний аналіз, програму винагород за знайдені вразливості та роботу зовнішніх дослідників. Штучний інтелект став додатковим інструментом, який дозволяє масштабувати перевірки.

Chrome можуть оновлювати двічі на тиждень

Велика кількість виправлень створила нову проблему: патч потрібно не лише підготувати, а й швидко доставити користувачам. Після появи виправленого коду у відкритому репозиторії зловмисники можуть проаналізувати зміни та зрозуміти принцип роботи вразливості.

Проміжок між публікацією патча та його встановленням на пристроях Google називає «вікном для N-day атак». У цей період деталі проблеми вже можуть бути відомі, але значна частина користувачів усе ще працює зі старою версією браузера.

Щоб скоротити цей проміжок, компанія переходить до випуску великих версій Chrome кожні два тижні та планує поширювати проміжні оновлення безпеки щотижня. Крім того, Google тестує режим, за якого термінові патчі можуть виходити двічі на тиждень.

Браузер зможе встановлювати патчі без перезапуску

Google також працює над технологією динамічного оновлення Chrome. Вона має дозволити замінювати окремі фонові процеси браузера новими версіями без повного закриття програми.

Зокрема, Chrome зможе послідовно перезапускати процеси, відповідальні за відображення сторінок і роботу графіки. Завдяки цьому більшість патчів безпеки застосовуватиметься швидше, а користувачам не доведеться вручну закривати десятки відкритих вкладок.

У Chrome 150 для macOS уже реалізований один із пов’язаних механізмів. Коли всі вікна закриті, але програма продовжує працювати у фоновому режимі, браузер може автоматично перезапуститися та встановити очікуване оновлення.

Безпека браузерів переходить на новий рівень

Різке збільшення кількості виправлень показує, наскільки сильно генеративний ШІ змінює розробку програмного забезпечення. Ті самі технології можуть застосовуватися як для пошуку вразливостей, так і для створення нових методів атак, тому швидкість перевірки та оновлення програм стає критично важливою.

З технічного погляду 1072 виправлені помилки не слід трактувати як ознаку того, що Chrome раптово став небезпечнішим. Значна частина цих проблем могла існувати у коді протягом багатьох років. Головна зміна полягає в тому, що тепер Google отримала інструменти для їх масового виявлення, класифікації та усунення.

Наступним важливим кроком стане скорочення часу між знаходженням вразливості та фактичним встановленням патча на пристрої. Якщо динамічне оновлення запрацює так, як планує Google, Chrome зможе отримувати захист майже непомітно для користувача — без ручного перезапуску та втрати відкритої сесії.