L’AI sta modificando in profondità il modo in cui Google protegge Chrome, trasformando un processo tradizionalmente lungo e fortemente dipendente dall’intervento umano in una catena di analisi e correzione sempre più automatizzata. Le versioni Chrome 149 e Chrome 150 hanno infatti corretto complessivamente 1.072 vulnerabilità di sicurezza, un numero superiore a quello registrato nelle precedenti 23 release stabili del browser messe insieme. Un’accelerazione che testimonia quanto gli strumenti basati sui modelli linguistici di grandi dimensioni stiano diventando una componente strategica nello sviluppo del browser più utilizzato al mondo.

L’impiego dell’AI non si limita però all’identificazione delle vulnerabilità. Google ha infatti costruito un ecosistema di strumenti che accompagna praticamente ogni fase del ciclo di gestione dei bug, dalla scoperta iniziale fino alla generazione delle patch candidate, passando per la riproduzione dei problemi segnalati, la valutazione della loro gravità, l’assegnazione agli sviluppatori competenti e la creazione automatica dei test necessari a verificare che la correzione sia realmente efficace.

Già nel 2023 Google aveva iniziato a sperimentare l’utilizzo dei modelli linguistici per migliorare il cosiddetto fuzzing, una tecnica che sottopone il software a enormi quantità di input casuali o anomali con l’obiettivo di provocare comportamenti inattesi e individuare vulnerabilità nascoste. Successivamente è arrivato Naptime, un progetto sviluppato insieme a Project Zero che ha dotato i modelli AI di strumenti specificamente progettati per la ricerca di falle di sicurezza.

L’evoluzione successiva è stata rappresentata da Big Sleep, iniziativa realizzata con Google DeepMind e Project Zero che ha permesso all’intelligenza artificiale di individuare vulnerabilità reali all’interno del motore JavaScript V8 e di alcune componenti grafiche di Chrome. Si tratta di un passaggio importante perché dimostra come l’AI non venga utilizzata esclusivamente per automatizzare attività ripetitive, ma inizi anche a contribuire concretamente all’individuazione di problemi complessi che, in passato, richiedevano l’intervento di ricercatori altamente specializzati.

Nel corso del 2026 Google ha ulteriormente ampliato questo approccio, sviluppando un’infrastruttura basata su Gemini capace di analizzare una porzione molto più ampia del codice sorgente di Chrome sia per aumentare il numero di vulnerabilità intercettate, sia per ridurre sensibilmente i falsi positivi, uno dei principali ostacoli quando si utilizzano sistemi automatici per la ricerca di bug.

download

Uno dei risultati più sorprendenti ottenuti da questo nuovo sistema riguarda una vulnerabilità presente nel codice di Chrome da oltre tredici anni. La falla consentiva, almeno teoricamente, a un processo compromesso incaricato del rendering delle pagine di uscire dall’ambiente sandbox, arrivando ad accedere ai file memorizzati localmente sul computer della vittima. Individuare un problema rimasto nascosto per oltre un decennio evidenzia quanto strumenti di analisi differenti possano portare alla luce criticità sfuggite ai controlli tradizionali.

Parallelamente Google sta intervenendo anche sull’organizzazione interna del codice. Gli sviluppatori vengono infatti incoraggiati ad aggiungere file SECURITY.md ai vari progetti, documenti che descrivono i confini di fiducia tra i diversi componenti software e i relativi modelli di minaccia. Queste informazioni consentono ai sistemi AI di comprendere meglio il contesto nel quale operano le singole funzioni del codice e di riconoscere con maggiore precisione le operazioni potenzialmente sensibili dal punto di vista della sicurezza.

L’azienda sottolinea comunque che l’intelligenza artificiale non sostituisce gli strumenti consolidati di verifica, ma li affianca. Il fuzzing continua infatti a rappresentare una delle tecniche più efficaci per individuare vulnerabilità particolarmente sofisticate, mentre i nuovi workflow multi-agente hanno il compito di accelerare le attività di analisi e ridurre il tempo necessario per arrivare a una correzione.

Anche la fase di triage viene ormai affidata in larga misura all’AI. I sistemi automatizzati eliminano segnalazioni duplicate o spam, riproducono gli exploit dimostrativi, attribuiscono una valutazione preliminare della criticità e indirizzano ogni problema verso il team di sviluppo più adatto. Secondo Google, questo approccio consente di recuperare centinaia di ore di lavoro ogni mese, permettendo agli sviluppatori di concentrarsi sulle attività a maggiore valore aggiunto.

Quando una vulnerabilità viene confermata, entrano in azione ulteriori agenti AI incaricati di produrre diverse possibili correzioni. Un secondo livello di analisi confronta le patch proposte, ne verifica la qualità e fornisce agli sviluppatori informazioni supplementari per scegliere la soluzione più affidabile. Nel solo mese di maggio questi sistemi avrebbero impedito a oltre venti vulnerabilità di raggiungere le versioni pubbliche del browser, compreso almeno un bug classificato come critico.

La rapidità nell’individuare le falle rappresenta però soltanto una parte del problema. Google evidenzia infatti come il vero punto critico sia ridurre il tempo che intercorre tra la pubblicazione della correzione nel repository pubblico di Chrome e l’effettiva installazione dell’aggiornamento sui computer degli utenti. Durante questa finestra temporale gli aggressori possono analizzare il codice modificato e ricostruire il funzionamento della vulnerabilità prima che tutti abbiano installato la patch.

Per ridurre questo rischio, Google sta accelerando il ritmo degli aggiornamenti introducendo un ciclo di rilascio principale ogni due settimane, affiancato da update di sicurezza settimanali e da sperimentazioni che prevedono addirittura due distribuzioni dedicate alla sicurezza nell’arco della stessa settimana. Al tempo stesso è in sviluppo un sistema di dynamic patching che consentirà di applicare gli aggiornamenti senza richiedere il riavvio del browser.

A partire da Chrome 150 per macOS è già disponibile una funzione che riavvia automaticamente l’applicazione quando rimane in background senza finestre aperte, installando così gli aggiornamenti pendenti in modo praticamente trasparente. L’obiettivo finale è mantenere Chrome costantemente aggiornato attraverso patch dinamiche, riavvii automatici nei momenti di inattività e un ripristino delle sessioni sempre più efficiente, riducendo al minimo i rischi per la sicurezza e l’impatto sull’esperienza dell’utente.