Googles AI-agenter fandt og rettede 1.072 Chrome-fejl på én måned

Google tilskriver en stor del af stigningen virksomhedens interne AI-værktøjer. De mange fejl stammer dog ikke udelukkende fra AI; en del blev også indrapporteret af eksterne sikkerhedsforskere .

Gemini hjælper gennem næsten hele sikkerhedsprocessen

Google bruger især Gemini-baserede agenter til at automatisere flere trin i arbejdet med sårbarheder . Værktøjerne kan blandt andet:

• finde nye sårbarheder i Chromes kode
• sortere og prioritere fejlrapporter
• genskabe og vurdere rapporterede problemer
• foreslå programrettelser og omskrive sårbar kode
• gennemgå kodeændringer og skrive test på tværs af platforme

Tidligt i 2026 byggede Google et agent-system baseret på Gemini, som ifølge virksomheden fandt sårbarheder mere effektivt og med færre falske positiver end tidligere metoder . Google har desuden siden oktober 2025 arbejdet med CodeMender, en AI-agent, der automatisk kan opdage, rette og omskrive sårbar kode .

Den 21. juli 2026 lancerede DeepMind også Gemini 3.5 Flash Cyber, en specialiseret model til hurtigt at opdage, validere og rette sårbarheder. Modellen er i første omgang kun tilgængelig for regeringer og betroede samarbejdspartnere gennem et begrænset pilotprogram .

AI fandt en 13 år gammel sandbox-omgåelse

Den mest bemærkelsesværdige opdagelse var en sårbarhed, som havde eksisteret ubemærket i Chromes kodebase i mere end 13 år .

Fejlen, CVE-2026-15119, var en kapløbstilstand i Chromes GetUserMedia-implementering. En angriber, der allerede havde kompromitteret browserens renderer-proces, kunne potentielt bruge fejlen til at slippe ud af browserens sandbox og få browseren til at læse lokale filer .

En sandbox er et afgrænset sikkerhedsmiljø, der skal forhindre webindhold i at få adgang til resten af computeren. En sandbox-omgåelse er derfor blandt de alvorligere typer browserfejl: Den kan gøre det muligt at bevæge sig fra en kompromitteret browserproces til systemets øvrige ressourcer.

Google fremhæver, at Gemini-agenten fandt fejlen, selv om den havde undgået menneskelige kodegennemgange i over et årti. For Chrome-teamet blev opdagelsen et tydeligt eksempel på potentialet i AI-baseret sårbarhedsjagt .

Chrome skal opdateres endnu oftere

Når AI-værktøjer finder fejl hurtigere, skal sikkerhedsrettelserne også kunne nå brugerne hurtigt. Derfor planlægger og tester Google flere ændringer i Chromes udgivelsesmodel:

• Sikkerhedsudgivelser op til to gange om ugen: Google afprøver en overgang fra ugentlige sikkerhedsopdateringer til to sikkerhedsudgivelser om ugen for at mindske tiden, hvor kendte fejl kan udnyttes .
• Større versioner hver anden uge: Fra september 2026 går Chrome fra en fire-ugers til en to-ugers cyklus for stabile hovedversioner. Chrome 153 bliver den første version på den nye plan og ventes 8. september 2026 .
• Extended Stable fortsætter med otte uger: Virksomheder, der har brug for længere tid til at teste og rulle opdateringer ud, får fortsat en Extended Stable-kanal med en otte-ugers cyklus .

Målet er færre genstarter

Hyppige opdateringer kan være en irritation, især når browseren skal lukkes og åbnes igen. Google arbejder derfor på dynamic patching, også omtalt som dynamic matching.

Teknologien skal gøre det muligt at udskifte baggrundsprocesser – eksempelvis renderer- og GPU-processer – med opdaterede binære filer, mens browseren kører. Dermed skulle en fuld browsergenstart i de fleste tilfælde kunne undgås .

På macOS kan Chrome fra version 150 desuden automatisk genstarte for at installere en ventende opdatering, hvis browseren kører i baggrunden uden åbne vinduer .

Chrome 151 rettede 370 sikkerhedsfejl

Den 29. juli 2026 udgav Google Chrome 151 Stable til Windows, macOS og Linux. Opdateringen rettede 370 sikkerhedsfejl . Fordelingen var:

De syv kritiske fejl omfattede blandt andet:

• CVE-2026-17650: Use-after-free i Compositing
• CVE-2026-17651: Utilstrækkelig validering af upålidelige input i Dawn
• CVE-2026-17652: Use-after-free i Views
• CVE-2026-17653: Use-after-free i Skia
• CVE-2026-17654: Kapløbstilstand i Updater
• yderligere kritiske fejl i ANGLE- og Ozone-komponenterne

Chrome 151 skiftede også Chromes XML-parser til en hukommelsessikker implementering i Rust i almindelige scenarier, hvor XSLT ikke er nødvendigt. Ifølge Chromes udviklerdokumentation skal ændringen fjerne potentielle fejl med hukommelseskorruption, samtidig med at kompatibiliteten med webstandarderne bevares .

Hvad betyder det for Chrome-brugere?

For de fleste brugere sker der ikke noget særligt ud over, at Chrome fremover kan opdatere oftere. Browseren henter normalt opdateringer i baggrunden, men det er stadig en god idé at genstarte den, hvis Chrome viser, at en opdatering afventer.

Fra Chrome 153 den 8. september 2026 kommer større versioner hver anden uge i stedet for hver fjerde uge . Googles arbejde med dynamiske programrettelser skal samtidig begrænse antallet af afbrydelser, selv om opdateringstempoet stiger.

En bredere tendens i cybersikkerhed

Chrome er et markant eksempel på en bredere udvikling i cybersikkerhed: AI-værktøjer bliver brugt til ikke kun at opdage sårbarheder, men også til at sortere rapporter, udvikle rettelser og teste dem i større skala .

Doug Turner, der er teknisk direktør for Chrome, har sagt til TechCrunch, at store sprogmodeller grundlæggende har ændret økonomien i cybersikkerhed . Det betyder ikke, at menneskelige sikkerhedseksperter er overflødige, men at AI kan øge mængden af kode, der bliver undersøgt, og forkorte vejen fra opdagelse til rettelse.