Специалисты Google исправили 1442 уязвимости в трех последних версиях браузера Chrome. Резкий рост количества CVE в компании связывают с активным внедрением ИИ: модели ищут проблемы в коде, проверяют отчеты исследователей и даже предлагают патчи.
В Chrome 149 и 150 устранили 1072 бага — больше, чем в предыдущих 23 релизах вместе взятых. Еще 370 уязвимостей исправили с выходом Chrome 151, причем 349 из них специалисты Google обнаружили самостоятельно. Только семь из этих проблем получили статус критических.
Инженеры Chrome начали использовать LLM для фаззинга еще в 2023 году, а затем вместе со специалистами Google Project Zero была разработана система Naptime, которая предоставляла моделям специальные инструменты для исследования уязвимостей. Позже специалисты Google DeepMind и Project Zero создали ИИ-агента Big Sleep, обнаружившего баги в движке V8 и графических компонентах Chrome. А в начале 2026 года в Google разработали агентный фреймворк на базе Gemini, способный анализировать весь код Chrome и отсеивать ложные срабатывания.
Как сообщают в компании, теперь ИИ задействован почти на всех этапах работы с багами. Агенты воспроизводят уязвимости, оценивают их опасность, направляют отчеты нужным разработчикам, генерируют разные варианты патчей и создают тесты. По оценке Google, автоматизация экономит инженерам сотни часов каждый месяц, а в мае 2026 года эти системы помогли исправить более 20 уязвимостей (включая один критический баг) еще до того, как они попали в стабильные сборки Chrome.
Одной из главных находок ИИ стала критическая уязвимость CVE-2026-3545 в компоненте Navigation, которая оставалась незамеченной на протяжении 13 лет. Скомпрометированный с помощью этого бага рендерер позволял осуществить побег из песочницы и в итоге вынуждал браузер читать локальные файлы пользователя.
При этом в Google предупреждают, что недостаточно быстро найти и исправить проблему. Дело в том, что после появления патча в открытом репозитории атакующие могут изучить изменения, восстановить детали бага и подготовить эксплоит еще до того, как обновление получат пользователи. Чтобы сократить возможное окно эксплуатации, весной 2026 года разработчики сообщили, что Chrome перейдет на двухнедельный цикл релизов с еженедельными патчами.
«Каждый найденный и исправленный баг лишает атакующего еще одной точки опоры. Но обнаружить и закрыть уязвимость — лишь половина дела: патч нужно доставить пользователям быстрее, чем противник успеет воспользоваться проблемой», — пишут специалисты Chrome Security Team.
Кроме того, в настоящее время в Google тестируют возможность выпуска обновлений безопасности дважды в неделю, а также автоматическую генерацию описаний CVE и заметок к релизам.
Параллельно с этим инженеры компании работают над динамическим обновлением Chrome без полного перезапуска браузера. Для этого фоновые дочерние процессы, включая Renderer и GPU, будут поочередно заменяться обновленными версиями прямо во время работы.
В долгосрочной перспективе разработчики Chrome планируют устранить в браузере целые классы проблем, включая use-after-free, выходы за границы буфера и другие ошибки безопасности памяти. Для этого код постепенно переносят с C++ на Rust, усиливают защиту среды выполнения и рассматривают перевод верхнеуровневого интерфейса Chrome на HTML, CSS и TypeScript. Все сторонние зависимости браузера планируется перевести на автоматическое обновление.
