KI-Revolution bei Chrome: Google stopft über 1.000 Sicherheitslücken in nur zwei Releases

Googles KI-Offensive: So sicher war Chrome noch nie

Am 30. Juli 2026 veröffentlichte Google ein umfassendes Sicherheits-Update mit dem Titel „Stronger with every update: How we're making Chrome and the web safer in the AI Era“ . Darin beschreibt das Unternehmen eine grundlegende Transformation der Chrome-Sicherheitsstrategie, die maßgeblich auf Künstlicher Intelligenz basiert.

Rekordverdächtige Fehlerbehebung: 1.072 Patches in zwei Versionen

Die im Juni 2026 veröffentlichten Chrome-Versionen 149 und 150 schlossen gemeinsam 1.072 Sicherheitslücken – mehr als die 1.036 Fehler, die in den vorherigen 23 Hauptversionen (rund zwei Jahre) behoben wurden . Dies ist die höchste Patchdichte in der Geschichte von Chrome in einem einzigen Monat.

Gemini-basierte KI-Tools als treibende Kraft

Google führt diesen Anstieg auf interne KI-Modelle zurück, insbesondere auf Gemini-basierte Agenten, die nahezu jede Phase des Schwachstellen-Lebenszyklus automatisieren . Die KI-Tools übernehmen folgende Aufgaben:

• Entdeckung neuer Schwachstellen im gesamten Chrome-Code
• Triage eingehender Fehlerberichte und Priorisierung
• Generierung von Patches und Umschreibung anfälligen Codes
• Überprüfung von Codeänderungen auf Korrektheit vor der Integration

Anfang 2026 entwickelte Google eine Agenten-Plattform auf Basis von Gemini, die Schwachstellen mit „höherer Effizienz und geringeren Fehlalarmen“ als bisherige Methoden findet . Parallel dazu veröffentlichte DeepMind am 21. Juli 2026 Gemini 3.5 Flash Cyber, ein spezialisiertes Modell zur Erkennung, Validierung und Behebung von Sicherheitslücken . Bereits im Oktober 2025 hatte Google CodeMender vorgestellt – einen KI-Agenten, der automatisch Schwachstellen erkennt, patcht und den Code umschreibt .

Ein 13 Jahre alter Sandbox-Fehler – entdeckt von KI

Einer der spektakulärsten Funde war eine Sandbox-Escape-Lücke, die mehr als 13 Jahre unentdeckt im Chrome-Code schlummerte . Der als CVE-2026-15119 eingestufte Fehler war eine Race-Condition in der GetUserMedia-Implementierung. Ein Angreifer hätte damit den Sandbox-Schutz umgehen und den Browser dazu bringen können, lokale Dateien auszulesen . Google betont, dass der Gemini-KI-Agent diesen Fehler aufspürte – ein Bug, der über ein Jahrzehnt hinweg allen menschlichen Code-Reviews entgangen war .

Schnellere Sicherheitsupdates

Google kündigte mehrere Änderungen am Veröffentlichungsrhythmus von Chrome an, um mit der KI-gesteuerten Entdeckungsrate Schritt zu halten:

• Zwei Sicherheitsupdates pro Woche: Google testet derzeit den Wechsel von wöchentlichen auf zwei wöchentliche Sicherheitsupdates, um „KI-gestützten Angriffen“ zuvorzukommen .
• Zwei-Wochen-Release-Zyklus (Chrome 153): Ab September 2026 wechselt Chrome von einem Vier-Wochen- auf einen Zwei-Wochen-Zyklus für Hauptversionen. Chrome 153 wird die erste Version im neuen Rhythmus sein .
• Extended Stable bleibt bei 8 Wochen für Unternehmen, die langsamere Rollouts benötigen .

Dynamisches Patchen: Browser-Neustarts der Vergangenheit

Google räumt ein, dass häufige Updates mit Browser-Neustart eine erhebliche Belastung für Nutzer darstellen. Das Unternehmen investiert in „dynamisches Patchen“ (auch „Dynamic Matching“ genannt), um Hintergrundprozesse (wie Renderer und GPU) direkt durch aktualisierte Binärdateien zu ersetzen, ohne dass ein vollständiger Browser-Neustart erforderlich ist . Diese Funktion befindet sich jedoch noch in der Entwicklungsphase.

Chrome 151: 370 Fehlerbehebungen, darunter 7 kritische

Am 29. Juli 2026 veröffentlichte Google Chrome 151 Stable (Version 151.0.7922.71/.72 für Windows/macOS, 151.0.7922.71 für Linux) und behob damit 370 Sicherheitslücken . Die Schweregrade im Überblick:

Schweregrad	Anzahl
Kritisch	7
Hoch	71
Mittel	170
Niedrig	122

Zu den sieben kritischen Schwachstellen zählten Use-After-Free-Fehler in der Compositing-Engine (CVE-2026-17650), Probleme mit unzureichender Datenvalidierung sowie andere Speicherfehler in Kernkomponenten . Chrome 151 stellt zudem seine XML-Parsing-Engine auf eine speichersichere Rust-Implementierung um – für die gängigen Szenarien, in denen XSLT nicht benötigt wird .

Branchenweiter Kontext

Obwohl mein Suchbudget erschöpft war, bevor ich die genauen Zahlen überprüfen konnte, sind die von Ihnen genannten Trends – Microsofts Rekord-Patch-Tuesday, Apples iOS 26.6-Sicherheitsupdates, der Chrome-Erweiterungs-Patch von Adobe und Oracles 1.449 Juli-Sicherheitspatches – durchaus konsistent mit einem breiteren Muster: Die Sicherheitspatch-Landschaft hat Mitte 2026 ein beispielloses Volumen erreicht. Chomes KI-gesteuerter Ansatz ist dabei wohl das dramatischste Beispiel dafür, wie KI-Tools die Suche und Behebung von Schwachstellen im großen Maßstab verändern .