Google corregge un record di 1.072 bug di Chrome a giugno, le correzioni basate sull'AI superano il totale di due anni

Il browser Chrome di Google ha appena registrato il mese di sicurezza più produttivo di sempre. A giugno 2026, l'azienda ha corretto 1.072 vulnerabilità in due versioni del browser, Chrome 149 e 150. Il totale di questo singolo mese supera i 1.036 bug risolti nelle precedenti 23 versioni rilasciate nei due anni precedenti.

L'incremento senza precedenti non è una coincidenza. Google attribuisce il merito ai suoi strumenti di AI interni, in particolare ai modelli linguistici di grandi dimensioni (LLM) come Gemini, per aver trasformato la scoperta delle vulnerabilità da un processo manuale e guidato da esperti in un'operazione automatizzata su scala industriale. L'azienda ha pubblicato un white paper che descrive in dettaglio come questi modelli ora gestiscono tutto, dalla ricerca dei bug alla generazione delle correzioni.

Come l'AI sta automatizzando il ciclo di vita dei bug

La pipeline di sicurezza basata sull'AI di Google copre l'intero ciclo di vita di una vulnerabilità: scoperta, triage, correzione e rilascio. L'azienda utilizza LLM da anni, ma la scala attuale è senza precedenti. All'inizio del 2026, Google ha costruito un agent harness utilizzando Gemini che ha trovato vulnerabilità nell'intero codebase di Chrome con maggiore efficienza e minori falsi positivi.

Una scoperta degna di nota è stata un bug di sandbox escape che era sopravvissuto silenziosamente nel codebase per più di 13 anni. Questo bug avrebbe permesso a un renderer compromesso di ingannare il browser per leggere file locali. Per molti nel team di sicurezza di Chrome, questo momento ha consolidato il potenziale del rilevamento delle vulnerabilità basato sull'AI.

Il sistema ora include un flusso di lavoro multi-agente. Un agente di correzione genera molteplici correzioni candidate, un agente critico valuta quale sia la migliore, e agenti di scrittura di test assicurano che i test funzionino su tutte le piattaforme supportate prima che uno sviluppatore umano riveda la correzione. Questo fa risparmiare fino a settimane di tempo di sviluppo per bug.

Triage su larga scala

Mentre gli strumenti di AI scoprivano più vulnerabilità, Google ha contemporaneamente ampliato il suo processo di triage. Storicamente, la triage di un singolo report di sicurezza richiedeva da 5 a 30 minuti e si basava principalmente sull'esperienza umana. Il nuovo sistema automatizzato combina sistemi basati su regole con l'AI per aumentare la produttività e la precisione.

Il processo di triage ora include quattro fasi chiave: filtrare il rumore, riprodurre i bug, arricchire i report con metadati e assegnazione automatica. Google stima che questo nuovo processo stia risparmiando centinaia di ore di tempo di sviluppo al mese, permettendo al team di concentrarsi su altre priorità di sicurezza.

Tendenza a livello di settore

Google non è sola in questo cambiamento. Anche Microsoft ha riportato un numero record di patch a giugno, guidato da strumenti di AI. Questa tendenza riflette una più ampia consapevolezza del settore che i sistemi basati sull'AI troveranno un numero sempre più esponenziale di bug, costringendo i difensori a utilizzare anche loro l'AI per anticipare gli hacker malintenzionati.

Doug Turner, direttore dell'ingegneria di Chrome, ha dichiarato a TechCrunch che gli LLM hanno "cambiato fondamentalmente l'economia della cybersecurity, trasformando la scoperta delle vulnerabilità in un'operazione automatizzata su scala industriale." Ha aggiunto che applicando modelli come Gemini, Google sta "correggendo preventivamente le vulnerabilità, superando i nostri avversari e rendendo Chrome più sicuro con ogni aggiornamento."

Patch gap e cadenza di rilascio

Trovare e correggere i bug è solo metà della battaglia. Google sta anche lavorando per minimizzare il "patch gap" — il tempo tra una correzione che arriva nel codice sorgente pubblico e il raggiungimento dei computer degli utenti. Poiché le correzioni impegnate nel ramo principale richiedono tipicamente settimane per raggiungere il canale Chrome Stable, gli aggressori possono fare reverse engineering e sfruttare i bug durante questa finestra.

Google sta passando a una cadenza di due settimane per le principali milestone di Chrome, con aggiornamenti di sicurezza settimanali. Tuttavia, l'azienda sta ora pilotando un passaggio a due rilasci di sicurezza a settimana per tenere il passo con gli attacchi basati sull'AI. L'azienda sta anche investendo in "patching dinamico" per eliminare la necessità di un riavvio completo del browser nella maggior parte dei casi.

Sicurezza della memoria e strategia a lungo termine

Oltre a correggere bug individuali, Google sta investendo nell'eliminare intere classi di vulnerabilità. La strategia di sicurezza della memoria a due livelli di Chrome include l'indurimento dell'ambiente runtime per il codice C++ legacy, mentre si passa a linguaggi memory-safe come Rust per la resilienza architetturale a lungo termine.

L'azienda sta espandendo le sue tecnologie MiraclePtr e MiracleObject per neutralizzare le vulnerabilità use-after-free, e sta portando avanti un massiccio sforzo di "spanification" per eliminare gli errori spaziali di out-of-bounds. Attualmente, il 97% del codice first-party di Chrome si compila correttamente con severi avvisi unsafe-buffer.

Per il lungo termine, Google sta costruendo un SDK Rust centralizzato per rendere Rust una scelta ingegneristica di routine per nuovi componenti. L'azienda sta anche esplorando l'implementazione dell'interfaccia utente di alto livello del browser utilizzando HTML, CSS e TypeScript per ridurre ulteriormente le dipendenze dai framework C++ tradizionali.

Cosa significa per utenti e investitori

Per gli utenti, l'aumento delle correzioni di bug significa che Chrome sta diventando più sicuro, più velocemente. Ogni bug trovato e corretto è un punto d'appoggio in meno per un aggressore. La capacità di Google di correggere più bug in un singolo mese di quanti ne correggesse in due anni riduce il rischio di una grave violazione che potrebbe danneggiare la fiducia degli utenti o causare costosi fermi.

Per gli investitori, la domanda è quali aziende stanno trasformando la sicurezza basata sull'AI in un reale vantaggio competitivo. I guadagni di efficienza di Google dagli investimenti in AI potrebbero manifestarsi in costi inferiori e meno patch di emergenza in futuro. La capacità di stare al passo con gli aggressori è un vantaggio competitivo silenzioso ma reale nel mercato dei browser.

Con l'intensificarsi dell'era dell'AI nel panorama delle minacce alla sicurezza del software, Google scommette che combinando meccanismi di rilascio rapido con difese strutturali profonde, il vantaggio rimarrà saldamente dalla parte dei difensori. Con questo approccio, Chrome e il web più ampio diventano più sicuri con ogni aggiornamento.